Desde el 15 de septiembre se bloquean los SMS con remitentes falsos: así funciona el Registro de Alias de la CNMC

El 15 de septiembre de 2026 marca un antes y un después en la seguridad de las telecomunicaciones en España. A partir de esta fecha, ha entrado plenamente en vigor la obligación legal impuesta a los operadores de telecomunicaciones para bloquear de forma automática aquellos mensajes SMS, MMS y RCS cuyo remitente muestre el nombre de una empresa, banco o administración pública que no esté formalmente inscrito y validado en el nuevo Registro de Alias gestionado por la Comisión Nacional de los Mercados y la Competencia (CNMC).

Esta medida regulatoria ataca de raíz uno de los vectores más destructivos del cibercrimen moderno: el smishing y la suplantación de remitente (SMS Spoofing). Hasta hoy, los estafadores podían contratar pasarelas de mensajería en cualquier rincón del mundo y forzar que en la pantalla del móvil de la víctima apareciera como remitente «BBVA», «Correos», «Santander» o «DGT», logrando que el mensaje fraudulento se colara incluso dentro del mismo hilo legítimo de conversaciones bancarias. A continuación, desgranamos el funcionamiento técnico de este escudo, su base legal, qué fraudes neutraliza y qué precauciones debes mantener intactas.

¿Qué es exactamente un «alias» en un SMS?

En telefonía móvil, un alias (también conocido técnicamente como identificador alfanumérico de origen o Sender ID) es una etiqueta compuesta por letras, números y determinados caracteres especiales que sustituye al número de teléfono emisor estándar (por ejemplo, ver en pantalla CORREOS o MiBanco en lugar de +34 600 123 456).

El Registro de Alias de la CNMC define las condiciones para que una persona jurídica o administración pública pueda registrar sus marcas o nombres comerciales, acreditando un título jurídico válido (marca registrada, denominación social en el Registro Mercantil o dominio web oficial).

Doble Comprobación: Control de Titularidad y del Proveedor de Envío

Uno de los aciertos de diseño más potentes de la regulación española es que no se limita a verificar si el nombre está registrado, sino que fiscaliza la cadena técnica completa de distribución:

En el Registro de la CNMC, cada empresa titular debe vincular su alias con los proveedores de servicios de mensajería autorizados para emitir tráfico en su nombre. Si una banda criminal intentara emitir SMS con el alias SANTANDER contratando un operador o gateway no autorizado en el expediente de dicha entidad, los operadores españoles de red deben bloquear el paquete de forma automática antes de que alcance el terminal del destinatario.

Tabla Comparativa: Situaciones y Reglas de Bloqueo desde el 15/09/2026

La Orden TDF/149/2025 y las instrucciones de la CNMC establecen el siguiente cuadro de actuación para los operadores:

¿Puede una empresa seguir enviando SMS si no registra su nombre?

Sí, pero no podrá usar su nombre como remitente. La propia CNMC aclara que la normativa no prohíbe las comunicaciones comerciales legítimas de aquellas pymes o empresas que decidan no tramitar su inscripción. Lo que no podrán hacer bajo ninguna circunstancia es enviar mensajes con un identificador de texto. Dichas empresas deberán emitir sus SMS utilizando numeración telefónica asignada ordinaria.

Control de Tráfico Internacional y Filtro de Frontera

Una gran parte de las infraestructuras de smishing opera inyectando millones de mensajes desde operadores foráneos con tarifas ultrabajas. Para frenar esta vía, la normativa española obliga a los operadores a bloquear en los nodos internacionales de interconexión cualquier SMS, MMS o RCS procedente del extranjero que exhiba un alias nacional, salvo supuestos muy delimitados de roaming internacional. Asimismo, las entidades extranjeras que presten servicios en España y deseen comunicarse mediante alias deben estar debidamente inscritas en el registro.

El Régimen Transitorio de la Circular 3/2026

Para evitar que la fecha límite del 15 de septiembre provocara un corte repentino en avisos de interés público, códigos bancarios 2FA o citas médicas de expedientes en trámite, la CNMC aprobó la Circular 3/2026, de 8 de septiembre.

Esta norma creó una figura de habilitación provisional para aquellas solicitudes presentadas antes de las 15:00 horas del 14 de septiembre de 2026 que cumplieran con la documentación preceptiva. Esta preinscripción temporal tiene una validez máxima de tres meses mientras el regulador concluye la tramitación definitiva, garantizando que el usuario no sufra apagones en servicios esenciales.

¿Significa esto que ya no existirá el Smishing? Rotundamente NO

Es fundamental no caer en una falsa sensación de inmunidad. El Registro de Alias resuelve un problema muy específico y de enorme gravedad: la usurpación de la identidad visual del remitente. Sin embargo, no hace que el SMS sea un canal 100 % inmune:

• Desplazamiento a remitentes numéricos: Las redes criminales seguirán emitiendo mensajes desde números móviles tradicionales (usando tarjetas SIM prepago a nombre de testaferros o numeraciones extranjeras sin alias).
• Ingeniería social en el cuerpo del mensaje: El contenido puede seguir afirmando ser «su banco» aunque el remitente sea un número 6XX XXX XXX ordinario.
• Enlaces maliciosos activos: Los atacantes continuarán usando dominios tipográficos o acortadores para redirigir a páginas de phishing idénticas a las bancarias.
• Cuentas legítimas comprometidas: Si las credenciales de un proveedor autorizado sufrieran un incidente de seguridad, el mensaje podría llegar con el alias legítimo. Por ello, nunca se deben facilitar claves bancarias ni autorizar operaciones no solicitadas.

Diferencia Clave: Registro de Alias vs. Nuevo Rango 400

En este año 2026 coinciden dos hitos regulatorios de gran calado en España promovidos por la Secretaría de Estado de Telecomunicaciones y la CNMC que conviene no confundir:

Protocolo Ciudadano: Qué Hacer ante un SMS Dudoso

1. Verifica el alias: Entra en la consulta oficial de la CNMC y busca el nombre exacto que figura como remitente. Si no aparece registrado y afirma ser una entidad bancaria, desconfía de inmediato.
2. Ignora el enlace recibido: Nunca hagas clic en URLs incluidas en mensajes que no hayas solicitado expresamente. Si tu banco necesita que revises un movimiento, accede entrando manualmente desde su app oficial o escribiendo la dirección web en el navegador.
3. Revisa los números de contacto alternativos: Si el SMS te pide llamar a un teléfono específico para anular una transferencia, busca primero ese número en nuestro directorio de QuiénLlama para comprobar denuncias de otros usuarios.
4. Guarda pruebas si sospechas delito: Haz capturas de pantalla del mensaje y del remitente antes de eliminarlo por si necesitas presentar denuncia ante la Policía Nacional, Guardia Civil o la Agencia Española de Protección de Datos (AEPD).

Preguntas Frecuentes sobre el Registro de Alias de la CNMC

¿Desde cuándo es obligatorio el bloqueo de SMS sin alias registrado?

La obligación de bloqueo generalizada para los operadores de telecomunicaciones comenzó a surtir plenos efectos el 15 de septiembre de 2026, según lo dispuesto en la Orden TDF/558/2026.

¿La medida afecta también a WhatsApp, Telegram o Signal?

No directamente. El Registro de Alias gestionado por la CNMC regula las redes de telecomunicaciones móviles tradicionales (SMS, MMS y el protocolo estándar RCS). Los servicios OTT independientes de mensajería por Internet tienen sus propios protocolos de verificación de cuentas de empresa.

¿Puede una empresa pequeña seguir enviando SMS sin inscribirse?

Sí. La normativa no prohíbe el envío de SMS ordinarios, sino la utilización de un nombre comercial o alias alfanumérico no validado. La empresa podrá continuar enviando mensajes siempre que utilice como remitente un número telefónico tradicional asignado.

¿Qué ocurre con las empresas cuya solicitud de alias aún estaba tramitándose?

La Circular 3/2026 de la CNMC aprobó un régimen transitorio de preinscripción para solicitudes presentadas antes de las 15:00 horas del 14 de septiembre de 2026, otorgándoles una habilitación temporal de hasta tres meses mientras se resuelve el procedimiento.

¿Cualquier mensaje que me llegue a partir de hoy es 100% seguro?

No. El filtro evita que ciberdelincuentes se hagan pasar por una marca conocida usando su nombre en el remitente, pero los estafadores pueden seguir enviando mensajes fraudulentos desde números de teléfono desconocidos o utilizar técnicas de engaño en el texto.