En un reciente y aleccionador reportaje publicado por The New York Times, el Dr. Hany Farid, investigador líder mundial en la detección de deepfakes, hizo una confesión que debería preocupar a todos los directores de seguridad de la información (CISO) y a los responsables de seguridad nacional.

Tras veinticinco años descifrando con éxito las manipulaciones visuales, Farid reconoció que la inteligencia artificial generativa ha superado los límites de la capacidad de análisis tanto humana como computacional. Señaló que, mientras que calcular píxeles y sombras para desenmascarar un deepfake puede llevar horas o días, una ficción generada por IA alcanza una difusión viral generalizada en Internet en cuestión de segundos.

La advertencia de Farid es clara: nuestro sistema visual se está volviendo inútil y la detección de capas de contenido es una carrera armamentística que estamos perdiendo claramente.

Para los responsables de comunicación del sector público y los arquitectos de seguridad de misión crítica, el análisis de Farid cambia el enfoque del problema: ya no se trata dela detección a posteriori, sino de impedir que los «deepfakes» se cuelen en el entorno de las comunicaciones.

Para que la mitigación sea eficaz, es necesario verificar la identidad y el dispositivo en el momento de la comunicación.

La detección siempre fue la capa equivocada

La detección da por hecho que los medios sintéticos ya han entrado en el canal y pueden haber influido en una decisión. En un entorno de coordinación de crisis, una red de mando y control o una cadena de información clasificada, esa secuencia es inaceptable. Para cuando se detecta un deepfake, el ciclo OODA ya se ha visto alterado.

Los actores institucionales que han tomado medidas respecto a los deepfakes en 2026 se han decantado por la vía de la negación: la FEC se quedó en un punto muerto en lugar de exigir la detección; el Comisionado de Privacidad de Canadá declaró ilegal una herramienta generativa en lugar de exigir la detección a gran escala; y el sistema de reconocimiento biométrico de YouTube es opcional y se limita a personas concretas. Todos ellos son controles preventivos que restringen lo que entra en el entorno, en lugar de una detección en sentido operativo. Las comunicaciones seguras del Gobierno requieren la misma lógica, aplicada en el nivel de la infraestructura.

La verificación resuelve lo que la detección no puede resolver

Los ataques de «deepfake» en las comunicaciones gubernamentales suelen consistir en una voz sintética en una llamada de mando, un vídeo falsificado de un alto cargo dando una orden o una imagen manipulada utilizada para activar una respuesta de emergencia. En todos los casos, el ataque tiene éxito porque el destinatario no puede verificar por sí mismo que el remitente sea quien dice ser y que el dispositivo que genera la comunicación esté autorizado.

La verificación criptográfica de la identidad y del dispositivo elimina por completo esa superficie de ataque.

BlackBerry® SecuSUITE® aplica una autenticación de dispositivos basada en certificados para cada llamada y cada mensaje. La identidad del remitente no se deduce a partir de la voz, la apariencia o el comportamiento. Se verifica mediante una credencial criptográfica vinculada a un dispositivo registrado y gestionado. Sin credencial, no hay comunicación. El «deepfake» no puede superar ese filtro porque este no evalúa el aspecto o el sonido de la comunicación, sino quién la ha firmado.

BlackBerry® UEM esta misma lógica al nivel de los dispositivos. Cada terminal de una flota gestionada está identificado, registrado y se somete a evaluaciones continuas. Un dispositivo que intente introducir contenido sintético en una cadena de comunicaciones o bien no está registrado —en cuyo caso no puede acceder al canal— o bien está registrado y su compromiso es detectable mediante la aplicación de políticas y las señales de anomalías de comportamiento.

BlackBerry® AtHoc® aplica la misma arquitectura de verificación a las notificaciones masivas y a la coordinación en situaciones de crisis. Cuando se emite una alerta, los destinatarios saben que procede de un operador autenticado que utiliza un dispositivo gestionado. La comunicación goza de autoridad institucional, ya que la infraestructura garantiza la identidad institucional.

La dimensión de la soberanía

La recomendación de Farid es que el público considere, por defecto, que las imágenes y los vídeos no son fiables, del mismo modo que se trata el correo electrónico sin firmar, y que compruebe su procedencia criptográfica y su origen institucional.

Las organizaciones gubernamentales no deberían esperar a que el debate público se ponga al día. La arquitectura que Farid describe como un objetivo futuro en materia de alfabetización mediática ya existe en la infraestructura de comunicaciones gubernamental consolidada: procedencia criptográfica, verificación de fuentes institucionales e identidad vinculada al dispositivo.

La distinción fundamental en los contextos de defensa y seguridad nacional es la soberanía de las claves. BlackBerry SecuSUITE basa en el principio de que las claves criptográficas que validan cada comunicación permanecen bajo el control de la organización que las implementa, y no del proveedor. El gobierno es el propietario del punto de referencia de confianza. No es posible coaccionar, violar ni manipular a un tercero para que lo socave.

Esa es la estructura que exige la amenaza de los deepfakes. No una mejor detección, sino una mejor verificación de la procedencia. No un análisis más inteligente a posteriori, sino controles más estrictos antes de que se produzca.

Defender el perímetro de la verdad

Farid tiene razón al afirmar que los ecosistemas de información pública están contaminados. Las principales plataformas de redes sociales, impulsadas por la interacción y la rapidez, carecen de una infraestructura unificada que permita validar los miles de millones de archivos multimedia que se suben a diario. Fuera del cortafuegos de la red, es probable que el «dividendo del mentiroso» persista y que la desconfianza del público siga siendo elevada.

Sin embargo, la red gubernamental no es una red social pública. Se trata de un espacio controlado, regulado y defendible. Las operaciones críticas para la misión simplemente deben garantizar la responsabilidad criptográfica en nuestros terminales. Cuando la identidad del dispositivo y la autenticación del usuario son absolutas, las ilusiones sintéticas pierden su poder de engaño.

Conclusión operativa

La detección ha perdido la carrera. El retraso es estructural, no fortuito, y cada nuevo lanzamiento de un modelo generativo lo acentúa aún más. Las organizaciones que siguen invirtiendo en la detección como principal medida de mitigación contra los deepfakes están creando defensas que, por su propia naturaleza, resultan ineficaces a la hora de actuar.

Las organizaciones gubernamentales mejor preparadas para operar en este entorno han adoptado un enfoque diferente. En lugar de intentar determinar a posteriori si un mensaje es auténtico, establecen su autenticidad desde el principio. Saben quién se está comunicando. Saben qué dispositivo ha enviado el mensaje. Controlan las claves criptográficas que lo acreditan.

No se trata de una preferencia tecnológica. En 2026, será un requisito operativo.

BlackBerry^® Secure Communications ofrece comunicaciones cifradas de extremo a extremo y verificadas criptográficamente para organizaciones de defensa, administraciones públicas e infraestructuras críticas de todo el mundo. BlackBerry SecuSUITE, BlackBerry UEM y BlackBerry AtHoc la certificación según los Criterios Comunes, la norma FIPS 140-2 y los estándares de la OTAN.