Los SMS que suplantan a tu banco dejan de llegarte, España activa el bloqueo automático de remitentes no registrados

El SMS que parece venir de tu banco, de Correos o de Netflix, y que en realidad busca robarte las claves, se topa desde este martes con un obstáculo nuevo. España ha empezado a bloquear de forma automática los mensajes de texto que usan un nombre comercial no registrado, la vía que hasta ahora aprovechaba buena parte de las estafas conocidas como smishing.

La medida forma parte del Plan Antiestafas del Gobierno y llevaba meses en marcha con un periodo de adaptación para las empresas. Ese margen se ha cerrado el 15 de septiembre, la fecha que la Comisión Nacional de los Mercados y la Competencia (CNMC) marcó como límite para regularizar la situación.

Un carné de identidad para cada remitente

El mecanismo se apoya en el Registro de alias, una base de datos gestionada por la CNMC donde cualquier empresa que quiera identificarse por su nombre comercial en un SMS, MMS o RCS tiene que inscribirse primero. El registro lleva operativo desde marzo, al amparo de la Orden Ministerial TDF/149/2025, y sus normas de funcionamiento quedaron detalladas en la Circular 1/2026 de la CNMC.

Inscribir un alias no consiste en rellenar un formulario, sino que la empresa debe acreditar que es la titular de esa marca o de ese dominio, un filtro pensado para que nadie pueda registrarse como si fuera un banco o una empresa de paquetería sin serlo. Bancos, aseguradoras, operadores de transporte, administraciones públicas y miles de pymes y autónomos que envían SMS masivos a sus clientes entran dentro de esta obligación.

El filtro que corta el mensaje antes de que suene tu móvil

A partir de ahora, los operadores de telefonía tienen que bloquear cualquier SMS, MMS o RCS que llegue identificado con un alias que no figure en el registro de la CNMC. La empresa que no se haya dado de alta no podrá enviar comunicaciones con su nombre comercial, aunque sí puede seguir mandando mensajes desde un número de teléfono convencional.

Según cifras recogidas por medios especializados en regulación, la CNMC había autorizado ya cerca de 13.500 alias antes de la fecha límite, mientras otras 6.000 solicitudes seguían pendientes de resolución. El organismo abrió una vía transitoria para las compañías que presentaron su solicitud a tiempo pero aún esperan respuesta, de manera que no pierdan ese canal mientras se resuelve el trámite.

Menos SMS que suplantan a tu banco

El efecto más visible para cualquier usuario debería ser recibir menos mensajes que imitan a entidades bancarias, empresas de paquetería o plataformas de streaming con enlaces fraudulentos. Ese tipo de smishing depende precisamente de usar el nombre de una marca conocida como remitente, así que perder esa posibilidad le quita al fraude buena parte de su credibilidad.

El otro lado de la moneda es que una empresa real que todavía no haya completado su registro se queda igual de bloqueada. Si en los próximos días dejas de recibir el código de verificación que suele mandarte tu banco o el aviso de seguimiento de un pedido, conviene no descartar que la compañía en cuestión siga pendiente de resolución en el registro, no que haya un problema con tu número.

Lo que esta medida no puede evitar por sí sola

El bloqueo actúa sobre los mensajes que se identifican con un nombre comercial, pero no sobre los que llegan desde un número de teléfono normal, una vía que ya usan muchos estafadores y que seguirán usando. Tampoco cubre otros canales como las llamadas, el correo electrónico o el fraude a través de aplicaciones de mensajería, donde la suplantación sigue funcionando igual que antes.

El INCIBE recuerda que, aunque este filtro reduzca el problema, conviene seguir atento a las señales habituales del smishing. Un remitente que no coincide con ningún contacto guardado, las faltas de ortografía, los enlaces acortados y el tono de urgencia que empuja a actuar sin pensar siguen siendo las pistas más fiables para detectar un mensaje falso.

Ante cualquier SMS que pida datos bancarios, contraseñas o el acceso a una cuenta, lo más seguro sigue siendo no tocar el enlace y comprobar la información directamente en la web o la aplicación oficial de la entidad. Si el mensaje ya ha causado algún daño, avisar al banco de inmediato y cambiar las contraseñas afectadas es el primer paso antes de cualquier otra gestión.