La CNMC pone fecha al fin del smishing por SMS
El organismo público obligará a bloquear los SMS con remitentes no registrados y proteger así la confianza del cliente
A partir del 15 de septiembre de 2026, los operadores móviles españoles empezarán a bloquear automáticamente los SMS, MMS y RCS que lleguen con un remitente (o "alias") no inscrito en un registro oficial. Lo ha decidido la Comisión Nacional de los Mercados y la Competencia (CNMC), que gestiona este nuevo Registro de Alias con un objetivo muy concreto: acabar con una de las formas de fraude que más ha crecido en los últimos años, el smishing.
Qué es el smishing y por qué preocupa tanto
El smishing es una variante del phishing que, en lugar de llegar por correo electrónico, se cuela directamente en la bandeja de mensajes del móvil. El delincuente envía un SMS haciéndose pasar por una entidad de confianza —un banco, una empresa de paquetería, la Seguridad Social— para conseguir que la víctima facilite datos personales, bancarios o haga clic en un enlace fraudulento.
Lo que lo hace especialmente peligroso es una técnica llamada SMS spoofing: los estafadores manipulan el remitente para que su mensaje aparezca con el nombre real de la marca suplantada, integrado incluso en el mismo hilo de conversación donde llegan los SMS legítimos del banco. Esa cercanía visual desactiva buena parte de las sospechas del usuario.
Los datos confirman que no es un problema menor. Según datos de tráfico analizados por Bitdefender, uno de cada 20 mensajes de texto en España presenta indicios de fraude, un 5,2% del total. El INCIBE, por su parte, registró un crecimiento del 19% en el fraude online durante 2025, con el phishing bancario como la modalidad que más daño causó, concentrando la banca el 34% de los incidentes.
En qué consiste la nueva obligación de la CNMC
La medida se enmarca en la Orden TDF/149/2025, que busca combatir las estafas por llamadas y mensajes fraudulentos. El Registro de Alias es una base de datos que permite identificar a los remitentes que utilizan nombres comerciales o marcas en mensajes SMS, MMS y RCS enviados a números españoles. En la práctica, esto significa que cualquier empresa o administración que quiera enviar mensajes con el nombre de su marca como remitente deberá inscribirlo previamente; si no lo hace, el mensaje será bloqueado antes de llegar al usuario.
La fecha inicial de entrada en vigor, el 7 de junio de 2026, se retrasó finalmente al 15 de septiembre. El motivo, según el BOE, fue la complejidad técnica y operativa del proceso de carga masiva de alias, para evitar el bloqueo por error de mensajes legítimos. Es decir: el Gobierno prefirió dar más margen a empresas y operadores antes que arriesgarse a que comunicaciones reales quedasen atrapadas en el filtro.
Qué significa esto para la experiencia de cliente
Más allá del componente técnico o regulatorio, esta decisión tiene una lectura directa en clave de experiencia de cliente. El SMS sigue siendo uno de los canales en los que más confía el usuario para recibir avisos de su banco, notificaciones de paquetería o comunicaciones oficiales, precisamente porque se percibe como un canal serio, alejado del "ruido" del correo electrónico. Esa confianza es también su punto débil: los ciberdelincuentes la explotan sabiendo que, cuanto más creíble parezca el remitente, menos preguntas se hará el destinatario.
Para las marcas, el mensaje es claro: cada intento de smishing que llega con su nombre no solo perjudica al usuario que cae en la trampa, sino que erosiona la reputación de la empresa suplantada, aunque esta no tenga ninguna responsabilidad directa en el fraude. Un cliente que recibe un SMS fraudulento "de su banco" y pierde dinero no siempre distingue entre el estafador y la entidad suplantada; la desconfianza salpica a ambos. Por eso, medidas como el Registro de Alias no solo son una cuestión de ciberseguridad, sino una palanca para recuperar y proteger la confianza en un canal que, bien gestionado, sigue siendo muy eficaz para la comunicación con el cliente.
Para saber más
