España bloqueará los SMS que suplanten a bancos y empresas: así funcionará el nuevo Registro de alias
A partir del 15 de septiembre de 2026, los operadores deberán bloquear en España los SMS, MMS y mensajes RCS que utilicen como remitente el nombre de una empresa o administración si ese identificador no está correctamente registrado. La medida pretende atacar una de las técnicas más eficaces del smishing: hacer que un mensaje fraudulento parezca proceder de nuestro banco, una empresa de paquetería o incluso un organismo público.
La CNMC ha recordado este 1 de septiembre a las empresas que deben completar el registro de sus alias para evitar que sus comunicaciones sean bloqueadas. Para los usuarios, el cambio debería hacer bastante más difícil falsificar el nombre que aparece en la parte superior de determinados mensajes.
Qué es el alias que aparece en un SMS
Cuando recibimos un SMS, el remitente no siempre aparece como un número de teléfono. Es habitual encontrar nombres como los de un banco, una aseguradora, una compañía de transporte o una administración.
Ese identificador alfanumérico es un alias o sender ID. Gracias a él, una empresa puede enviar un mensaje identificado con su marca aunque el usuario no tenga ningún número guardado en la agenda.
El problema es que este mecanismo también puede utilizarse para la suplantación de identidad. Un atacante puede intentar enviar un SMS utilizando un identificador que imite el de una organización conocida y acompañarlo de un enlace a una web fraudulenta.
La consecuencia resulta especialmente peligrosa cuando el mensaje consigue integrarse visualmente en una conversación que el usuario considera legítima. Por eso no basta con recomendar que comprobemos el nombre mostrado en la pantalla: es necesario verificar también quién está autorizado para utilizarlo.
Qué cambiará el 15 de septiembre
La pieza central del sistema es el Registro de alias gestionado por la CNMC. En él se vinculan los identificadores utilizados como remitente con sus titulares legítimos y con los proveedores autorizados para transmitir mensajes utilizando esos alias.
Desde el 15 de septiembre, los operadores involucrados en la transmisión deberán bloquear mensajes cuando el alias no esté inscrito, proceda de un proveedor no registrado o no exista la habilitación correspondiente del titular.
No es simplemente una recomendación de seguridad. La obligación procede de la Orden TDF/149/2025 y su aplicación desde esa fecha quedó fijada posteriormente mediante la Orden TDF/558/2026 publicada en el BOE.
La fecha inicialmente prevista era el 7 de junio de 2026, pero el proceso se aplazó debido a la complejidad técnica y operativa de registrar los identificadores existentes y adaptar los sistemas de los distintos actores implicados.
Cómo funcionará técnicamente el bloqueo
El mecanismo introduce una especie de lista de confianza de remitentes alfanuméricos.
Una empresa que quiera utilizar su marca como remitente debe acreditar la relación entre ese alias y su marca registrada, nombre comercial, denominación social o dominio. El procedimiento está regulado por la Circular 1/2026 publicada en el BOE.
Pero registrar el nombre no es suficiente.
El sistema también identifica qué proveedores de origen están autorizados para transmitir mensajes empleando ese alias. De esta forma se intenta evitar que un tercero pueda utilizar un nombre legítimamente registrado simplemente porque conoce cuál es.
Cuando el mensaje atraviese la infraestructura de mensajería, los proveedores podrán contrastar esa información con el registro y determinar si debe continuar hasta el teléfono del destinatario o ser bloqueado.
La Circular 2/2026 de la CNMC adaptó posteriormente el procedimiento para facilitar, entre otras cuestiones, las cargas masivas y las pruebas técnicas necesarias antes de activar definitivamente el bloqueo.
No afecta solamente a los SMS
Aunque el SMS es probablemente el caso más reconocible, la regulación cubre SMS, MMS y RCS enviados a números españoles.
RCS, siglas de Rich Communication Services, es especialmente relevante porque representa la evolución del SMS hacia una mensajería mucho más completa: permite incorporar imágenes, botones, información empresarial y otras funciones enriquecidas.
Esto aumenta las posibilidades de crear comunicaciones verificables y más sofisticadas, pero también hace especialmente importante saber quién está detrás del remitente.
La regulación contempla además a empresas extranjeras que necesiten enviar mensajes con alias a clientes con números españoles. Estas también deberán registrar sus identificadores, con determinadas particularidades contempladas por la normativa.
¿Desaparecerá entonces el smishing?
No. El Registro de alias resuelve una parte concreta del problema: la suplantación del identificador alfanumérico del remitente.
Los delincuentes pueden seguir utilizando números de teléfono, dominios parecidos a los legítimos, cuentas comprometidas, ingeniería social y otros mecanismos para engañar a las víctimas.
Tampoco significa que un mensaje sea necesariamente seguro simplemente porque muestra correctamente el nombre de una empresa. Un sistema legítimo puede ser comprometido y los delincuentes adaptarán previsiblemente sus técnicas conforme se cierren otras vías.
Por tanto, siguen siendo válidas las recomendaciones habituales: desconfiar de solicitudes urgentes de dinero o credenciales, no introducir claves bancarias desde enlaces recibidos inesperadamente y acceder a servicios sensibles utilizando directamente sus aplicaciones o direcciones conocidas.
La diferencia es que España añade ahora una barrera en la propia infraestructura de telecomunicaciones, en lugar de trasladar toda la responsabilidad de detectar el engaño al usuario.
Los usuarios podrán comprobar quién está detrás de un alias
Otra característica interesante es la transparencia.
La CNMC contempla un portal público de consulta desde el que se podrá comprobar qué alias están registrados y qué entidad figura como titular. Esto permitirá verificar, por ejemplo, quién está autorizado a utilizar determinado nombre como remitente.
La medida forma parte de un conjunto más amplio de actuaciones contra el fraude telefónico y la suplantación de identidad introducidas durante los últimos años en España.
Para las empresas, el efecto inmediato es mucho más prosaico: quienes todavía utilicen nombres comerciales en sus mensajes deben revisar que estén correctamente registrados. La CNMC advierte de que, si no lo hacen, desde el 15 de septiembre no podrán seguir enviando mensajes identificándose con ese alias, aunque podrán continuar enviando comunicaciones sin utilizarlo.
Una mejora importante, pero no una garantía absoluta
El Registro de alias aborda un problema que llevaba años haciendo especialmente convincentes determinados fraudes por SMS: que el teléfono muestre aparentemente el nombre de una organización conocida no demuestra por sí mismo que el mensaje proceda de ella.
Desde el 15 de septiembre de 2026, esa suplantación debería resultar bastante más difícil en mensajes dirigidos a números españoles, porque el control se realizará antes de que lleguen al usuario.
Será especialmente interesante comprobar cómo responden los ciberdelincuentes y si desplazan sus campañas hacia números convencionales, WhatsApp, correo electrónico u otros canales.
¿Crees que comprobar el remitente en la propia red reducirá realmente las estafas por SMS? ¿Has recibido alguna vez un mensaje fraudulento que aparecía identificado con el nombre de un banco o una empresa conocida?
