5 min de lectura
Mira estos cinco remitentes de SMS: BANCO X, Correos, Amazon, DGT, Hospital X. Probablemente confiaste en al menos tres de ellos en el instante en que los leíste, sin ningún dato real que respaldara esa confianza más allá de reconocer el nombre. Eso es exactamente lo que cambia mañana, 15 de septiembre, en España: los operadores empiezan a bloquear los SMS, MMS y RCS enviados con un alias que no esté inscrito en el Registro de Alias de la CNMC. Durante décadas, cualquiera podía escribir el nombre de tu banco como remitente. Desde mañana, ese nombre empieza a tener una capa de verificación real detrás.
¿Qué cambia exactamente con el nuevo registro de alias de la CNMC para SMS?
Los operadores españoles tienen la obligación de bloquear los mensajes con un alias (el nombre alfanumérico que ves como remitente, en vez de un número) que no esté registrado en la CNMC, y también de bloquear los alias registrados que lleguen desde un proveedor no autorizado para usarlos. La CNMC tenía 13.565 alias registrados a fecha 10 de septiembre, con más de 4.000 solicitudes aún pendientes de aprobación. El plazo ya se aplazó una vez, desde junio, precisamente por el volumen de solicitudes, y la propia CNMC ha confirmado que no hay prevista otra prórroga, aunque sí ha abierto un periodo transitorio para empresas que ya solicitaron el registro y siguen esperando la aprobación formal.
Qué pasa si una empresa no se registra a tiempo
No desaparece la comunicación, desaparece el nombre. La empresa puede seguir enviándote el mismo aviso de cita o el mismo código de verificación, pero llegará desde un número largo y anónimo en vez de mostrar su marca. Para el usuario, esa pérdida del nombre ya es en sí misma una señal de alerta: si tu banco de toda la vida empieza a escribirte desde un número desconocido, algo no encaja, aunque el mensaje sea legítimo.
Un pequeño experimento: ¿por qué confías en un nombre sin comprobar nada?
Vuelve a los cinco remitentes del principio. Antes de mañana, cualquiera de ellos era técnicamente igual de fácil de falsificar: escribir «BANCO X» como alias no dependía de demostrar que eras ese banco, solo de que tu proveedor de envío de SMS lo permitiera. Y aun así, tu cerebro procesó esos cinco nombres con niveles de confianza automática muy distintos, basados únicamente en si reconocías la marca y en qué tan sensible es la relación que tienes con ella (probablemente confiaste más en «Banco X» y «Hospital X» que en un remitente genérico, precisamente porque ahí hay más en juego si el mensaje es real). Ese es el mecanismo exacto que el smishing lleva años explotando: no hace falta hackear nada, solo hace falta escribir el nombre correcto.
El SMS no es el único elemento de interfaz que confundimos con una garantía
Esto abre una pregunta mucho más amplia que el propio registro de alias: qué elementos de una interfaz interpretamos como señales de confianza aunque técnicamente no demuestren nada por sí solos. El candado HTTPS de un navegador confirma que la conexión está cifrada, no que el sitio sea legítimo, una web de phishing puede tener HTTPS perfectamente. La insignia de verificación de Instagram confirma identidad, pero se ha demostrado repetidamente que se puede comprar o falsificar en cuentas clonadas. Un resultado patrocinado en Google significa que alguien pagó por esa posición, no que sea la opción más fiable. Un vendedor «verificado» en un marketplace suele significar que completó un trámite administrativo, no que sus productos sean auténticos. Y un perfil de WhatsApp Business con el nombre de una empresa se puede configurar sin ninguna verificación real de que quien lo gestiona sea quien dice ser.
Por qué el registro de alias sí es distinto
Porque, a diferencia de la mayoría de esas señales, aquí sí hay verificación real detrás: la CNMC exige que el titular del alias confirme personalmente la solicitud, y permite consultar públicamente qué alias están registrados y a nombre de quién. Es de los pocos casos donde una señal visual que llevábamos años interpretando de forma casi supersticiosa empieza a tener, por fin, algo verificable sosteniéndola.
¿Esto significa que ya puedes confiar ciegamente en cualquier SMS con nombre de marca?
No, y aquí hay un aviso práctico importante que conviene repetir: no tienes que hacer nada para adaptarte a esta medida. Si recibes un SMS que te pide «registrarte», confirmar datos o pulsar un enlace para seguir recibiendo mensajes de tu banco por este cambio normativo, ese mensaje es sospechoso por definición, porque el registro lo gestiona la empresa con la CNMC, nunca el usuario final. El nuevo sistema reduce una vía concreta de suplantación, pero no certifica que todo lo que llegue con un alias registrado sea automáticamente seguro; los estafadores seguirán teniendo otros caminos, como enlaces falsos o llamadas. Lo que sí cambia, y no es poco, es que a partir de mañana, cuando veas el nombre de una marca como remitente, por primera vez hay una razón técnica real para confiar un poco más en ese nombre, no solo la costumbre de reconocerlo. Es la misma pregunta que nos hacíamos al analizar qué señales de confianza son reales en una web y cuáles no: la fricción de verificar algo suele ser la diferencia entre una garantía y una apariencia.
