¿Por qué falla el bloqueo de SMS falsos de DGT y Seguridad Social?

Los SMS fraudulentos que se hacen pasar por la DGT o la Seguridad Social siguen llegando a móviles españoles pese a que desde el 15 de septiembre está en vigor el nuevo sistema que obliga a bloquear mensajes enviados con identidades de remitente no registradas o desde proveedores no autorizados. La Seguridad Social ha advertido además de nuevas campañas de suplantación y se han detectado mensajes que utilizan incluso identificadores como TGSS para parecer legítimos.

El bloqueo, por tanto, existe y es obligatorio, pero no está frenando todos los intentos de smishing. Hay dos explicaciones razonables para este agujero: el periodo transitorio concedido a miles de alias que aún estaban pendientes de validación y posibles fallos —o una implantación incompleta— del filtrado dentro de la cadena de operadores. La primera posibilidad está prevista en la propia regulación; la segunda surge ante la llegada efectiva de mensajes que, en teoría, deberían ser interceptados.

El bloqueo que debía cerrar la puerta al SMS suplantado

Buena parte de estas estafas se apoya en un detalle pequeño pero poderosísimo: el nombre que aparece en la parte superior del mensaje. No vemos un número desconocido, sino algo como DGT, TGSS, un banco o una empresa conocida. Y el cerebro hace el resto. Si el teléfono parece reconocer al remitente, bajamos la guardia.

Esos nombres son los llamados alias alfanuméricos. La normativa española creó un Registro de Alias gestionado por la Comisión Nacional de los Mercados y la Competencia, la CNMC, para que empresas y administraciones vinculen oficialmente su identificador con los proveedores autorizados para enviar mensajes en su nombre. Desde el 15 de septiembre de 2026, los operadores deben bloquear los SMS, MMS y RCS con alias que no figuren en el registro y también aquellos que, aun utilizando un nombre registrado, procedan de un proveedor que no esté habilitado para emplearlo.

Sobre el papel, el esquema es sencillo. Un delincuente ya no debería poder introducir en la red un mensaje firmado como una institución conocida y esperar que aparezca tranquilamente en el móvil de la víctima. Pero las telecomunicaciones tienen algo de tubería industrial: entre quien origina el mensaje y quien finalmente lo entrega al teléfono pueden intervenir proveedores de origen, tránsito y terminación. El control debe funcionar a lo largo de toda esa cadena, no únicamente en la compañía que tiene contratado el usuario.

El proveedor que introduce inicialmente el SMS debe bloquear un alias que no esté inscrito o que no corresponda a quien pretende utilizarlo. Los intermediarios también tienen obligaciones de comprobación y, finalmente, el operador móvil encargado de entregar el mensaje debe impedir que pase si incumple las condiciones establecidas. No basta, por tanto, con colocar un único filtro al final del camino.

El sistema obliga además a conservar información sobre los mensajes bloqueados y su procedencia. Es decir, fue diseñado para dejar rastro y permitir comprobar dónde se ha colado un envío irregular. Otra cosa es que, apenas unos días después de su entrada en funcionamiento, esa arquitectura esté funcionando con la precisión de un reloj suizo. Los SMS fraudulentos que continúan apareciendo sugieren que no siempre es así.

El atasco de última hora abrió un periodo excepcional

Aquí aparece la primera grieta. En vísperas de la entrada en vigor del bloqueo se acumuló un volumen muy elevado de solicitudes y muchos alias todavía estaban pendientes de completar su validación administrativa. Aplicar el filtro de golpe podía dejar fuera comunicaciones auténticas de bancos, comercios, administraciones, servicios sanitarios o empresas de transporte.

La solución fue una preinscripción temporal. Los alias cuya solicitud se hubiera presentado antes de las 15:00 del 14 de septiembre y cumpliera determinados requisitos básicos podían continuar utilizándose mientras se terminaba de revisar su expediente. La regulación establece un plazo máximo de tres meses para resolver esa situación transitoria.

Eso no significa que se abriera el registro sin condiciones. Las solicitudes debían cumplir los requisitos de formato y aportar declaraciones responsables sobre la vinculación del alias. Pero durante esa ventana hay identificadores que pueden circular antes de que concluya su validación definitiva, una diferencia importante cuando el sistema pretende funcionar precisamente como una lista de remitentes fiables.

Esa situación ofrece una posible explicación a algunos mensajes que están atravesando el filtro. No demuestra, por sí sola, que los alias de DGT o TGSS utilizados en campañas fraudulentas procedan de esa vía. A falta de información técnica sobre cada SMS concreto, conviene separar lo comprobado de lo probable.

La otra posibilidad: filtros que todavía dejan pasar mensajes

La segunda explicación es más incómoda. Puede haber puntos de la cadena de mensajería donde el bloqueo no se esté aplicando correctamente o donde una determinada ruta consiga sortearlo. Se han comunicado casos de usuarios que continúan recibiendo mensajes fraudulentos después de la entrada en vigor del sistema, lo que plantea dudas sobre si todos los mecanismos de filtrado están funcionando de forma homogénea.

No existe, sin embargo, información pública suficiente para atribuir todos esos SMS a un operador concreto. Un mensaje puede recorrer varias redes y proveedores antes de aterrizar en el terminal. Culpar automáticamente a la compañía que aparece en la factura del móvil sería demasiado fácil —y posiblemente equivocado— porque el fallo podría encontrarse antes, durante el tránsito del mensaje.

Lo relevante para el consumidor es menos tranquilizador: la presencia de un nombre conocido como remitente no garantiza todavía que el SMS sea auténtico. Justamente esa confianza era una de las piezas que el nuevo registro pretendía recuperar.

La Seguridad Social vuelve a estar en el punto de mira

La Seguridad Social ha advertido recientemente de una campaña en la que los delincuentes envían mensajes sobre supuestas actualizaciones, deudas o cantidades pendientes. Los enlaces conducen a páginas que imitan servicios oficiales y terminan solicitando información personal o bancaria.

El mecanismo tiene poco de sofisticado y mucho de psicología. Una deuda inesperada, una prestación pendiente, una regularización que parece urgente. Prisa más autoridad, una pareja veterana en el catálogo del fraude. La víctima pulsa el enlace y entra en una web construida para parecer legítima; después llegan el NIF, los datos de la tarjeta o cualquier otra información que pueda convertirse en dinero.

La Seguridad Social recuerda que no solicita datos bancarios por SMS, WhatsApp o llamadas telefónicas. Ante una comunicación dudosa, la comprobación debe hacerse directamente mediante los canales oficiales y no desde el enlace que acompaña al supuesto aviso.

Una multa de la DGT tampoco se paga desde un SMS inesperado

Con la DGT ocurre algo parecido. Los ciberdelincuentes recurren a falsas multas pendientes y pequeñas cantidades para empujar al usuario a pagar deprisa. Un importe relativamente bajo ayuda: parece más fácil liquidarlo que ponerse a investigar.

La DGT establece que las notificaciones de sanciones se realizan por correo postal o mediante la Dirección Electrónica Vial, la DEV. Quienes están dados de alta voluntariamente en la DEV pueden recibir un aviso por SMS o correo electrónico de que existe una notificación, pero eso es muy distinto de recibir un mensaje inesperado que exige pagar inmediatamente pulsando en un enlace.

Ese matiz importa. Desconfiar de absolutamente cualquier SMS tampoco tiene demasiado sentido; distinguir entre un aviso legítimo y una orden de pago fraudulenta, sí.

El nuevo sistema complica el fraude, pero no lo hace imposible

El Registro de Alias introduce una barrera importante porque dificulta una de las armas más convincentes del smishing: hacer que el mensaje aparente proceder exactamente de una marca o institución conocida. Pero ningún filtro de telecomunicaciones elimina todas las estafas.

Los delincuentes pueden enviar mensajes desde números convencionales, cambiar el nombre utilizado, recurrir a canales extranjeros o modificar la campaña cuando una puerta se cierra. También existe una excepción prevista para determinadas situaciones de itinerancia: usuarios con numeración extranjera conectados en España pueden recibir mensajes que no pasarían el filtro ordinario, aunque en determinados casos esos envíos deben aparecer identificados como “NO VALIDADO”.

Y queda el factor humano. Una web falsa puede copiar logotipos, colores, tipografías e incluso buena parte del aspecto del organismo legítimo. Lo que no convierte esa página en oficial es que se parezca muchísimo a ella. El viejo disfraz, simplemente, se ha hecho digital.

El nombre del remitente ya no basta para confiar

La entrada en vigor del bloqueo del 15 de septiembre supone un cambio serio en la lucha contra la suplantación mediante SMS, pero los primeros días han dejado una conclusión incómoda: el filtro no puede interpretarse como un certificado de autenticidad para todo mensaje que llegue al teléfono.

La preinscripción excepcional de alias explica una parte potencial del problema y la posibilidad de fallos técnicos o controles incompletos dentro de la cadena ofrece otra. Determinar cuál está detrás de cada mensaje requiere información de los operadores y del propio registro que el usuario corriente no puede ver desde su pantalla.

Mientras tanto, la señal más valiosa sigue estando dentro del propio mensaje. Una supuesta Administración que exige dinero mediante un enlace, una deuda desconocida que debe resolverse con urgencia o una web que acaba pidiendo la tarjeta merecen sospecha, aunque arriba aparezcan tres letras tranquilizadoras: DGT o TGSS pueden escribirse en una pantalla; la identidad real del remitente es otra historia.