El SMS que finge ser tu banco lo tendrá más difícil: se bloquearán los mensajes con alias no registrados desde el 15 de septiembre

El nombre que aparece como remitente ya no podrá viajar por cualquier ruta. Desde el 15 de septiembre, los alias utilizados en SMS, MMS y RCS deberán estar inscritos, y los mensajes tendrán que circular por proveedores autorizados. La medida eleva la barrera contra el smishing, pero una mala configuración también puede dejar al cliente sin su OTP o una alerta legítima.

Un cliente intenta autorizar un pago, mira el móvil y el código no llega. Vuelve a pedirlo. Después llama al banco. El problema no está en su cobertura ni en la aplicación: el SMS ha sido bloqueado porque el nombre del remitente o la ruta del proveedor no coinciden con el nuevo Registro de Alias.

Ese escenario puede empezar a producirse el 15 de septiembre de 2026. Desde esa fecha, los operadores deberán bloquear los mensajes dirigidos a números españoles que utilicen un alias que no figure inscrito y activo, que lleguen desde un proveedor no registrado o que procedan de un proveedor de origen no habilitado para ese alias.

La idea esencial: no basta con registrar el nombre del banco. Deben encajar el alias exacto, su titular, el proveedor autorizado y la ruta real por la que viaja el mensaje.

El 15 de septiembre no empieza el registro: empieza el bloqueo

La obligación nace de la Orden TDF/149/2025, que creó las medidas contra la suplantación en llamadas y mensajería. La Circular 1/2026 de la CNMC desarrolló el procedimiento y abrió el Registro el 28 de marzo. La fecha inicial de bloqueo era el 7 de junio, pero el Ministerio la aplazó al 15 de septiembre mediante la Orden TDF/558/2026.

La Circular 2/2026 no endureció de golpe el sistema: flexibilizó la representación, convirtió la carga masiva y el entorno de pruebas en mecanismos permanentes y ajustó las estadísticas. El gran cambio para el mercado es que, desde el 15 de septiembre, el filtro deja de ser preparatorio y pasa a tener consecuencias en la entrega.

Fuentes: Circular consolidada del Registro de Alias, Circular 2/2026 y sede electrónica de la CNMC. Las más de 75.000 solicitudes corresponden a cargas masivas e individuales durante los dos primeros meses, no a alias ya aprobados.

Qué es un alias y qué mensajes caen dentro

Un alias es la cadena alfanumérica que aparece como remitente en lugar de un número, por ejemplo el nombre de una entidad. No permite responder directamente al mensaje. La regulación cubre SMS, MMS y RCS enviados a números españoles, incluidos códigos de verificación, avisos de movimientos, alertas de fraude, recordatorios y campañas comerciales.

Para SMS y MMS, el alias debe tener entre 3 y 11 caracteres. Se admiten letras, números y determinados signos, pero no identificadores exclusivamente numéricos ni nombres genéricos como «Banco» o «Urgente». Además, las mayúsculas y minúsculas importan: registrar «MiBanco» no autoriza automáticamente «MIBANCO» o «mibanco».

Los remitentes formados únicamente por un número válido quedan fuera de este Registro, aunque pueden estar sujetos a otras reglas antifraude. Tampoco se aplica a mensajes dirigidos a números no españoles. Las empresas extranjeras sí deben registrar sus alias cuando escriben a clientes con numeración española, con excepciones limitadas vinculadas a la itinerancia.

La ruta completa importa: quién debe hacer qué

El Registro no es una simple lista de marcas. Relaciona cada alias con su titular y con los proveedores que pueden originar los mensajes. Después, los distintos participantes en la cadena deben comprobar esa información antes de cursar o entregar el tráfico.

Fuente y detalle de roles: Circular 1/2026 consolidada. «CPaaS» es una categoría comercial; la obligación concreta depende del papel técnico y regulatorio que desempeñe cada plataforma.

La medida apunta al smishing, pero no mata el fraude

El smishing gana credibilidad cuando el delincuente falsifica el nombre del remitente y consigue que el mensaje aparezca junto a comunicaciones reales. Territorio FinTech ya ha explicado cómo los SMS pueden aparentar llegar desde el hilo habitual de tu banco. El nuevo sistema dificulta que alguien utilice el alias exacto de una entidad desde una ruta no autorizada.

El problema es muy real. INCIBE gestionó 122.223 incidentes de ciberseguridad en 2025, un 26% más que el año anterior. El fraude online representó cuatro de cada diez incidentes y el 28% de las consultas al 017 se relacionó con intentos de phishing, vishing o smishing.

Pero el Registro no analiza el contenido, no certifica los enlaces y no impide que un atacante utilice un número, un alias parecido, WhatsApp, una llamada o una cuenta legítima comprometida. El Banco de España sitúa el phishing, el vishing y el smishing entre los riesgos financieros más frecuentes de 2026.

Un alias registrado mejora la trazabilidad, no convierte el SMS en infalible. El cliente debe seguir desconfiando de enlaces, peticiones de claves y llamadas que le presionen para actuar. Estos son los datos que nunca te pedirá un empleado real del banco.

OTP y alertas: el riesgo de dejar al cliente a medias

La propia CNMC incluye los códigos de verificación entre los mensajes afectados. Si el alias no está activo o el proveedor de origen no coincide con el autorizado, puede no llegar el OTP para iniciar sesión, recuperar una cuenta, completar un alta, confirmar una operación o validar un pago.

Para el cliente es una espera. Para la entidad, el efecto se multiplica: operaciones abandonadas, repetición de códigos, bloqueo por demasiados intentos, llamadas al soporte y pérdida de conversión. Una alerta antifraude legítima bloqueada resulta todavía más delicada porque llega tarde justo cuando el tiempo importa.

La norma no obliga a abandonar el SMS OTP, pero sí refuerza el argumento a favor de canales alternativos dentro de la aplicación. Algunas entidades ya permiten autorizar pagos sin contraseñas de un solo uso por SMS. Otras combinan notificación push, biometría o aplicaciones de autenticación. La clave es añadir resiliencia sin rebajar la autenticación.

CPaaS: no basta con contratar una plataforma conocida

CPaaS no es una categoría jurídica de la Circular. Una plataforma puede actuar como proveedor de origen, agregador, revendedor con capacidad de bloqueo o simple tercero, y sus subproveedores pueden formar parte de la ruta real. Por eso, el nombre comercial que aparece en el contrato no siempre coincide con el PRO que debe estar habilitado en el Registro.

Cuando actúan como proveedores registrados, estas compañías deben integrarse con la información de la CNMC, aplicar reglas de bloqueo según su posición, guardar históricos y remitir estadísticas. La sede de la CNMC ofrece el trámite, las especificaciones de carga y la documentación de la API. Para la entidad financiera, la pregunta correcta no es «¿mi CPaaS cumple?», sino «¿están registrados los proveedores que deben estarlo y correctamente autorizados todos los participantes por los que puede circular cada mensaje?».

La adaptación debe unir a cumplimiento, fraude, identidad, operaciones, marketing, tecnología y atención al cliente. La seguridad debe acompañar a la velocidad de los pagos inmediatos, también cuando la comunicación viaja por un proveedor externo.

La trampa del proveedor de respaldo

Un alias puede tener varios proveedores de origen. Eso permite preparar continuidad, pero todos deben estar habilitados antes de utilizarlos. Si una fintech registra únicamente a su proveedor principal y, durante una caída, deriva los OTP a una plataforma de emergencia no asociada, esos mensajes pueden ser bloqueados justo cuando más se necesitan.

La continuidad también se registra. Incluye las rutas principales y de respaldo, comprueba los subagregadores y prueba la conmutación antes del 15 de septiembre.

La suplantación no afecta solo al cliente particular. También amenaza a las empresas mediante el fraude del CEO. El Registro de Alias es una capa más dentro de una defensa que debe sumar controles de identidad, aprobación y trazabilidad.

Checklist: nueve pasos para llegar preparado

Inventaria todos los alias. Incluye producción, pruebas, fraude, recuperación de cuenta, marketing, filiales, marcas y campañas estacionales.

Separa SMS/MMS y RCS. No des por hecho que una configuración sirve automáticamente para ambos tipos de mensajería.

Revisa el formato exacto. Comprueba mayúsculas, minúsculas, espacios, longitud y caracteres admitidos.

Acredita la vinculación legítima. Marca, nombre comercial, denominación social, dominio u otra prueba aceptada deben sostener el uso del alias.

Mapea la ruta real. Identifica titular, terceros, CPaaS, PRO, subagregadores, tránsito, operador y rutas internacionales.

Habilita proveedores principales y de respaldo. El proveedor alternativo debe estar autorizado antes de una emergencia, no durante ella.

Aprueba las solicitudes pendientes. Cuando otro actúa por el titular, este dispone de 10 días hábiles para autorizar; si no responde, la actuación queda sin efecto.

Prueba cada recorrido crítico. OTP, alertas, altas, recuperación, tarjetas, pagos y fraude deben validarse con distintos operadores y con el plan de contingencia.

Monitoriza y prepara alternativas. Vigila recibos de entrega y rechazos, define alertas y ofrece un canal seguro dentro de la app cuando sea posible.

La trampa de la solicitud pendiente y qué pasa si llegas tarde

La solicitud presentada no protege el tráfico. El alias debe figurar inscrito y activo. Durante los seis meses iniciales desde el 28 de marzo, la CNMC puede emplear hasta tres meses en validar también una solicitud individual; la carga masiva tiene un plazo máximo de tres meses. A fecha de cierre de este artículo quedan menos de cuatro semanas para el bloqueo.

La consecuencia inmediata de no adaptarse no es una multa automática para la empresa titular: es que el mensaje no llega. El coste aparece después en forma de accesos fallidos, operaciones abandonadas, llamadas al soporte, quejas, campañas desperdiciadas y daño reputacional. Los proveedores que incumplan sus obligaciones de bloqueo sí pueden afrontar procedimientos de la CNMC y responsabilidades conforme a la Ley General de Telecomunicaciones, pero no existe una sanción plana que pueda atribuirse sin analizar cada caso.

Otro riesgo es el falso positivo operativo: un alias legítimo enviado con una variante distinta o por una ruta no habilitada también debe bloquearse. La normativa se aplazó precisamente para evitar que comunicaciones sensibles quedaran fuera por problemas de adaptación.

Qué cambia para el cliente del banco

El usuario gana una barrera contra la falsificación del remitente y puede consultar en el portal público de alias de la CNMC si un identificador está registrado y quién es su titular. Eso mejora la transparencia, pero no convierte el nombre que aparece en pantalla en una orden para confiar.

Ante un SMS inesperado, no pulses el enlace ni facilites contraseñas u OTP. Abre la aplicación oficial por tu cuenta, utiliza el número de atención publicado por la entidad y verifica la operación. INCIBE relató en junio un fraude iniciado con un SMS bancario aparentemente real que terminó combinando llamada, aplicación maliciosa y NFC: el engaño ya salta de un canal a otro.

La protección efectiva funciona por capas. Igual que la verificación del nombre y el IBAN añade una barrera frente al fraude en transferencias, el Registro de Alias mejora una parte concreta del recorrido sin sustituir la prudencia del cliente ni los controles internos de la entidad.

Preguntas frecuentes sobre el Registro de Alias SMS

¿Qué cambia exactamente el 15 de septiembre? Empiezan a surtir efecto las obligaciones de bloqueo para mensajes con alias no activos o cursados por proveedores no registrados o no habilitados.

¿Todas las empresas tienen que registrar un alias? Solo las que utilicen un remitente alfanumérico en SMS, MMS o RCS dirigidos a números españoles. Los remitentes exclusivamente numéricos quedan fuera de este Registro.

¿Puede hacerlo el proveedor CPaaS? Sí, si actúa como proveedor de origen o tercero autorizado, pero el titular debe aprobar la actuación y verificar qué proveedores participan realmente en la ruta.

¿Basta con que la solicitud esté presentada? No. El alias debe estar inscrito y activo, y el proveedor de origen debe figurar habilitado.

¿Un alias registrado garantiza que el mensaje es seguro? No. Valida el uso del nombre y la cadena autorizada, pero no certifica el contenido, el enlace o la intención de cada mensaje.

¿Qué pasa si no llega el OTP? Evita pedirlo repetidamente, comprueba la app oficial y contacta con la entidad por un canal conocido. No compartas el código con nadie.

La conclusión: una barrera necesaria con un nuevo punto de fallo

El Registro de Alias cierra una puerta muy utilizada por el smishing: suplantar el nombre de una entidad y hacerlo circular por una ruta no autorizada. Para el cliente, eso debería traducirse en menos mensajes capaces de disfrazarse con el alias exacto de su banco.

Para bancos y fintech, el 15 de septiembre es una fecha de seguridad y también de continuidad. Si alias, titular, proveedor y ruta no encajan, el fraude puede quedar fuera; pero el OTP legítimo también.

TerritorioFintech es un medio digital dirigido a la Digital Money Generation y especializado en la actualidad de los nuevos modelos bancarios y financieros. Su equipo editorial publica contenidos informativos y divulgativos con el objetivo de contribuir a mejorar la educación financiera de sus lectores.

Todos los contenidos tienen una finalidad exclusivamente informativa y educativa. En ningún caso deben interpretarse como asesoramiento financiero ni como recomendaciones de inversión.