Suplantación del remitente SMS: el ataque que el registro de alias de la CNMC quiere enterrar

Miras el móvil y hay un SMS de tu banco: movimiento sospechoso, verifica tu cuenta en este enlace. Lo inquietante no es el texto, es el contexto: el mensaje aparece en el mismo hilo que tus avisos reales del banco, bajo el mismo nombre de remitente, como si fuera una conversación de años. Das por hecho que es legítimo y tocas el enlace. Ese gesto, repetido miles de veces al día en España, es el que explota la suplantación del remitente SMS. Y es justo el ataque que el nuevo Registro Oficial de Alias de la CNMC quiere dejar sin efecto. Aquí te contamos cómo funciona el truco y cómo defenderte mientras tanto.

Cómo falsificaban tu banco hasta ahora

El remitente de un SMS puede ser un número o un texto, el llamado alias: el nombre que ves en lugar del número, como el de CaixaBank, Santander, BBVA o Correos. Hasta ahora ese texto era libre: cualquiera que enviara SMS masivos podía escribir el nombre que quisiera como remitente, sin demostrar ninguna relación con la empresa.

Esa libertad tenía una consecuencia demoledora en tu móvil. Los teléfonos agrupan los mensajes por remitente, así que el SMS falso del estafador caía en el mismo hilo que los mensajes auténticos de tu banco. Años de avisos reales servían de aval visual a un mensaje trampa. El estafador ni siquiera necesitaba un texto brillante: el hilo de conversación ya le había ganado tu confianza. Solo faltaba la urgencia de siempre, cuenta bloqueada, cargo extraño, paquete retenido, y el enlace a una web que imitaba la original para robar tus claves o los datos de tu tarjeta.

Qué cambia con el registro de alias

Con el Registro Oficial de Alias, el nombre del remitente deja de ser texto libre y pasa a ser una identidad verificada ante la Comisión Nacional de los Mercados y la Competencia. Cada empresa registra sus alias y demuestra que le pertenecen; los operadores comprueban ese registro antes de entregar el mensaje.

Para ti hay dos cambios prácticos. Primero, si un mensaje llega con el nombre de una marca como remitente, ese alias está registrado a nombre de su titular real: falsificarlo ya no es cuestión de teclear un nombre. Segundo, los mensajes con alias no registrados llegan desde un número genérico en lugar del nombre, fuera del hilo de siempre. Ese desplazamiento es tu nueva señal de alarma: un supuesto aviso de tu banco que llega desde un número desconocido, separado de tu historial real, merece desconfianza inmediata. Los alias genéricos que no identifican a nadie, del tipo AVISO o BANCO, tampoco están permitidos.

Lo que los estafadores intentarán ahora

Ninguna medida acaba con el fraude de un día para otro, y conviene anticipar las jugadas de los estafadores durante la transición. Estas son las más probables:

• SMS desde números normales haciéndose pasar por tu banco, tu operadora o un servicio de paquetería, apoyados en textos cada vez más cuidados.
• Aprovechar el periodo de adaptación, en el que incluso comunicaciones legítimas pueden llegar desde números, para que bajes la guardia ante remitentes numéricos.
• Alias con pequeños trucos visuales que intenten colarse donde el registro no aplique o aún no se verifique.
• Desviar el ataque a canales fuera del registro: llamadas de vishing, WhatsApp, correo electrónico o mensajes en redes sociales.
• Webs y apps falsas cada vez más fieles a las originales, para que el enlace del mensaje siga siendo rentable.

La lección es clara: el registro cierra la puerta más rentable, la del remitente falsificado dentro de tu hilo de confianza, pero el resto de la casa sigue necesitando vigilancia.

Tu manual de defensa: desconfía del hilo

A partir de ahora, aplica estas reglas cada vez que un SMS mencione dinero, claves o pagos:

1. Mira dónde cae el mensaje. Si un supuesto aviso de tu banco llega desde un número desconocido y fuera de tu hilo habitual, trátalo como sospechoso.
2. No toques el enlace del mensaje, ni siquiera para curiosear. Abre tú la app oficial o escribe la dirección en el navegador.
3. Comprueba en tu cuenta si existe el aviso real: cargos, bloqueos o paquetes pendientes aparecen ahí, no solo en un SMS.
4. Llama al número oficial de la empresa, el del reverso de tu tarjeta o su web, nunca al que figure en el mensaje.
5. Sospecha de la urgencia y del tono amenazante: bloqueo en 24 horas, último aviso, paga ya o pierde el paquete.
6. Comprueba el número en NoCall si el SMS viene de un remitente numérico: otros usuarios ya lo habrán reportado si es fraude.

Y una regla de fondo que no cambia con ninguna regulación: tu banco nunca te pide claves completas, códigos de un solo uso ni operaciones con Bizum por SMS. Quien lo pida por mensaje no es tu banco.

Dónde pedir ayuda y denunciar en España

Si recibes un SMS sospechoso, no lo borres todavía: haz una captura con el remitente, el texto y la fecha, y repórtalo. Puedes pedir orientación gratuita en la línea 017 de INCIBE, el servicio de ayuda en ciberseguridad. Si diste datos o dinero, llama de inmediato a tu banco para bloquear operaciones y tarjetas, cambia tus contraseñas desde otro dispositivo y denuncia ante la Policía Nacional, que cuenta con el Grupo de Delitos Telemáticos, o ante la Guardia Civil. Para reclamaciones sobre tu entidad financiera tienes también al Banco de España. Cada denuncia con pruebas ayuda a cerrarles el camino.

El remitente con nombre vuelve a significar algo

Durante años, el nombre del remitente en un SMS no demostraba nada: era un texto que cualquiera podía escribir. El registro de alias de la CNMC le devuelve su valor convirtiéndolo en una identidad verificada, y deja al descubierto al que intente suplantarla. Pon de tu parte la otra mitad: no confíes en el hilo por costumbre, verifica cada aviso por un canal que tú controles y usa NoCall para filtrar los números que los estafadores aún pueden usar. Entre el registro cerrando la puerta del remitente falso y tú cerrando la del clic impulsivo, este ataque tiene los días contados.