Nueva regulación de SMS en España: el registro de alias de la CNMC y qué cambia para ti

Te llega un SMS de "CORREOS": tu paquete está retenido, paga 1,99 € en este enlace. O uno de "SANTANDER": hemos bloqueado tu cuenta, verifica tus datos aquí. El remitente parece legítimo porque pone el nombre de la marca en lugar de un número. Esa es exactamente la trampa del smishing: hasta ahora, cualquiera podía poner el remitente alfanumérico que quisiera en un SMS. España acaba de cambiar eso con el nuevo Registro Oficial de Alias de la CNMC, creado a partir de la Orden TDF/149/2025. Esto es lo que significa para ti.

Qué es el Registro Oficial de Alias

El alias es el remitente personalizado que ves en lugar de un número de teléfono: por ejemplo, el nombre de tu banco, de Correos o de tu operadora. Con la nueva normativa, para usar un remitente alfanumérico en España la empresa titular tiene que solicitar formalmente su alta en el registro de la Comisión Nacional de los Mercados y la Competencia (CNMC), a través de su Sede Electrónica.

Además, el alias queda vinculado a una entidad identificada: tiene que guardar relación directa con su denominación social, su marca registrada o su dominio web. Dicho de otro modo: el nombre que aparece como remitente deja de ser texto libre y pasa a ser una identidad verificada.

Qué cambia en tu móvil

Hay tres cambios visibles que notarás como usuario:

• Si ves el nombre de una marca como remitente, ese alias está registrado. Un estafador ya no puede simplemente escribir "BBVA" o "CORREOS" como remitente y colar sus mensajes en el mismo hilo de conversación que los mensajes reales de esas empresas.
• Los remitentes no registrados aparecen como números. Si un emisor usa un alias sin aprobación de la CNMC, los operadores sustituyen el remitente alfanumérico por un número de teléfono genérico. Un SMS "de tu banco" que llega desde un +34 desconocido es ahora, por definición, sospechoso.
• Se acabaron los alias genéricos. El registro prohíbe términos ambiguos que no identifican a nadie, del tipo "AVISO", "OFERTA" o "BANCO". Si recibes un SMS de un remitente así, desconfía: ninguna empresa legítima puede usarlo.

Los alias registrados además cumplen un formato técnico estricto: entre 3 y 11 caracteres, solo letras (sin acentos) y números, sin caracteres especiales ni espacios dobles.

Cómo te protege contra el smishing

Gran parte del smishing funcionaba gracias a la suplantación del remitente. Los mensajes falsos se agrupaban en tu móvil junto a los verdaderos porque compartían el mismo alias, y eso les daba una credibilidad inmerecida. Al reservar cada alias a su titular verificado, ese truco deja de funcionar: falsificar el remitente "CaixaBank" o "DGT" ya no es cuestión de teclear un nombre.

Esto no elimina todas las estafas por SMS, pero sí cierra la puerta más rentable que tenían los estafadores en España: la de parecer exactamente igual que la empresa real.

Lo que la regulación NO resuelve

Conviene no bajar la guardia por cuatro motivos:

• El SMS numérico sigue existiendo. Los estafadores pueden seguir enviando mensajes desde números normales. Que el remitente sea un número desconocido no es prueba de estafa, pero sí motivo para verificar antes de actuar.
• El registro cubre los SMS, no las llamadas ni WhatsApp. El vishing (llamadas falsas de tu banco) y las estafas por mensajería instantánea siguen su propio camino.
• Un alias registrado no garantiza que el contenido sea legítimo. El registro verifica quién envía, no qué dice. Una empresa real también puede ser hackeada, y sus comunicaciones comprometidas.
• Hay un periodo de adaptación. Mientras empresas y operadores completan el proceso, verás remitentes numéricos incluso en comunicaciones legítimas. La regla de oro sigue valiendo: verifica por un canal independiente antes de pagar o dar datos.

Cómo verificar un SMS de tu banco, Correos o la DGT

Aplica esta lista cada vez que un SMS te pida dinero, datos o un clic urgente:

1. Mira el remitente. ¿Es el alias oficial de siempre o un número desconocido? Los mensajes que antes llegaban con nombre y ahora llegan desde un +34 genérico merecen una comprobación extra.
2. No toques el enlace. Escribe tú la dirección oficial en el navegador o abre la app de la empresa y comprueba si hay algún aviso real en tu cuenta.
3. Llama al número oficial. Usa el teléfono de la web oficial o del reverso de tu tarjeta, nunca el que aparezca en el mensaje.
4. Sospecha de la urgencia. "Tu cuenta será bloqueada en 24 horas", "último aviso", "paga ahora o pierdes el paquete": la presión es la herramienta principal del estafador.
5. Comprueba el número en NoCall. Si el SMS viene de un número, búscalo en NoCall: verás si otros usuarios ya lo han reportado como spam o estafa.
6. Ante la duda, repórtalo. Reenvía el SMS sospechoso y pide ayuda en la línea 017 de INCIBE, la ayuda en ciberseguridad del Gobierno, y denuncia ante la Policía Nacional (091) o la Guardia Civil (062) si has perdido dinero.

Si el problema es el spam comercial legítimo pero no deseado (ofertas de empresas reales), date de alta en la Lista Robinson para dejar de recibir publicidad no solicitada.

Qué hacer si ya has clicado o dado tus datos

Actúa rápido y en este orden:

1. Llama a tu banco inmediatamente si has introducido claves o datos de tarjeta. Pide bloquear operaciones y tarjetas.
2. Cambia las contraseñas desde otro dispositivo, empezando por el correo y la banca, y activa la verificación en dos pasos.
3. Si instalaste alguna app desde el enlace, desinstálala y revisa los permisos concedidos; considera restablecer el móvil si la app pedía accesos extraños (SMS, accesibilidad).
4. Guarda el mensaje (captura con remitente, texto y fecha) y denuncia: es la prueba que necesitarán tu banco y la policía.
5. Vigila cargos y cuentas durante las semanas siguientes, y desconfía de llamadas que ofrezcan "recuperar" tu dinero a cambio de un pago: son la segunda parte de la estafa.

Un buzón de SMS más limpio, con tu ayuda

El Registro Oficial de Alias es la medida más contundente que se ha tomado en España contra el smishing: convierte el remitente con nombre en una identidad verificada y deja al descubierto a quien intente suplantarla. Pero ninguna regulación sustituye al eslabón más importante, que eres tú: no hagas clic en enlaces de mensajes inesperados, verifica siempre por un canal independiente y usa una app de bloqueo como NoCall para filtrar los números que los estafadores aún pueden usar. Entre la CNMC cerrando la puerta del remitente falso y tú cerrando la del clic impulsivo, el smishing lo tiene cada vez más difícil.