¿Quién está detrás de ese SMS? Así funciona el registro de la CNMC

Desde mediados de septiembre, el nombre que aparece como remitente de determinados mensajes de móvil en España ya no debería ser una simple etiqueta puesta ahí porque sí. La CNMC ha habilitado la consulta pública de su Registro de Alias, una base oficial en la que cualquier usuario puede comprobar qué entidad está detrás del nombre utilizado para firmar SMS, MMS y mensajes RCS enviados a números españoles.

El cambio tiene una consecuencia bastante concreta. Cuando en la bandeja de entrada aparece un mensaje identificado con el nombre de un banco, una compañía de transporte, una aseguradora o una administración, ese alias puede comprobarse en el registro oficial para conocer a su titular. Al mismo tiempo, desde el 15 de septiembre de 2026 los operadores están obligados a bloquear los mensajes que utilicen alias no registrados o que lleguen a través de proveedores no habilitados para emplearlos.

Hasta hace poco, aquel pequeño nombre que encabezaba un SMS tenía algo de decorado de cartón piedra. Parecía acreditar quién escribía, pero su mera presencia no demostraba que detrás estuviera realmente esa empresa. Y precisamente esa apariencia de legitimidad ha sido aprovechada durante años por campañas de smishing, la variante del phishing que utiliza mensajes de texto para intentar robar claves, dinero o información personal.

Qué cambia desde el 15 de septiembre

Un alias de remitente es el identificador alfanumérico que aparece en lugar de un número de teléfono. Puede ser el nombre comercial de una empresa, una marca, una denominación social o determinados identificadores relacionados con ella. Es lo que permite que en el móvil aparezca, por ejemplo, el nombre de una entidad en la cabecera del mensaje en vez de una sucesión de nueve cifras.

La nueva regulación obliga a que esos identificadores estén vinculados a un titular legítimo. La empresa o administración, directamente o mediante determinados proveedores o representantes, debe solicitar su inscripción y acreditar la relación entre el alias y su identidad, marca, nombre comercial o dominio. No vale escoger una palabra con aspecto convincente y echarla a rodar.

La CNMC también fija reglas para evitar denominaciones ambiguas o diseñadas para confundir. No se admiten, por ejemplo, determinados nombres genéricos que puedan hacer creer al usuario que está ante una comunicación oficial sin identificar realmente a quien la envía. Tampoco se trata únicamente de registrar una palabra: el sistema vincula el alias con los proveedores autorizados para transmitir mensajes usando ese identificador.

Desde el 15 de septiembre de 2026, los operadores deben bloquear los SMS, MMS o RCS enviados con un alias que no figure correctamente en el registro, que proceda de un proveedor no registrado o que se esté utilizando sin la habilitación correspondiente del titular. Es una barrera técnica, no solo una recomendación escrita en letra pequeña.

Cómo saber quién usa el alias que aparece en el móvil

La parte especialmente útil para el ciudadano llega con la consulta pública. La CNMC dispone de un buscador del Registro de Alias que permite comprobar los identificadores inscritos y conocer qué entidad figura como titular.

Eso cambia una situación cotidiana. Hasta ahora, alguien podía recibir un SMS con el nombre aparentemente impecable de una empresa y solo tenía delante esa palabra como referencia. Ahora existe una base administrativa con la que contrastarla. El remitente deja de ser una especie de matrícula fabricada por quien envía el mensaje y pasa a tener detrás un registro verificable.

La consulta está pensada precisamente para los alias utilizados en SMS, MMS y RCS destinados a números españoles. RCS es el estándar de mensajería enriquecida que funciona dentro de las aplicaciones compatibles del teléfono y permite incorporar imágenes, botones y otras funciones más avanzadas que el SMS clásico.

Aquí conviene marcar una frontera que a veces se pierde entre tanto acrónimo: este Registro de Alias no es un registro general de mensajería digital. La normativa se refiere a SMS, MMS y RCS. No convierte en remitentes registrados los nombres que aparecen en WhatsApp, Telegram, correo electrónico u otras plataformas ajenas a este sistema.

Un registro oficial no convierte cada mensaje en infalible

La existencia del registro eleva bastante el listón para quienes intentan hacerse pasar por una organización conocida mediante un alias falso, pero no vuelve mágicamente inocuo todo lo que llega al teléfono. El sistema comprueba quién está autorizado para utilizar un determinado identificador y obliga a filtrar los usos que no encajan con el registro; no certifica el contenido de cada mensaje ni cada enlace incluido en él.

Es una diferencia pequeña sobre el papel y enorme en la práctica. Un alias correctamente registrado aporta una señal mucho más sólida sobre el origen del mensaje, pero siguen teniendo sentido las precauciones habituales ante solicitudes extraordinarias de contraseñas, claves bancarias, códigos de verificación o pagos inesperados.

El fraude, por desgracia, rara vez se jubila. Se muda.

Qué deben hacer empresas y operadoras

La responsabilidad no recae únicamente sobre las compañías que utilizan su nombre como remitente. Los proveedores de servicios de mensajería y los operadores que intervienen en la transmisión forman parte del engranaje.

Las empresas y administraciones que deseen utilizar estos nombres deben inscribir previamente sus alias y acreditar su vinculación legítima. La CNMC analiza las solicitudes y puede exigir la autorización del titular cuando el trámite haya sido presentado por un proveedor o un tercero que actúe en su nombre.

Los proveedores registrados, por su parte, necesitan comprobar la información del registro para aplicar los bloqueos previstos. Un mensaje puede utilizar un alias auténtico y, aun así, incumplir las reglas si ha sido enviado por un proveedor que no está habilitado para usarlo. El sistema busca cerrar precisamente esa rendija.

También afecta a empresas extranjeras que quieran enviar mensajes con alias a clientes con números españoles. La norma contempla su registro, mientras que el tráfico procedente del extranjero con determinados alias españoles está sujeto igualmente a medidas de bloqueo, con las excepciones previstas para situaciones como la itinerancia internacional.

La preinscripción que evitó miles de posibles bloqueos

La puesta en marcha no ha sido precisamente coser y cantar. La obligación de bloqueo estaba prevista inicialmente para el 7 de junio de 2026, pero el Gobierno aplazó su aplicación hasta el 15 de septiembre después de comprobar la complejidad técnica y administrativa del proceso.

A pocos días de llegar la nueva fecha, la propia CNMC tenía todavía miles de solicitudes pendientes. A 10 de septiembre se habían contabilizado 13.565 alias inscritos, mientras varios miles continuaban en proceso de validación. Había solicitudes pendientes de autorización de sus titulares y otras que todavía estaban siendo revisadas por el organismo.

El regulador optó entonces por una solución transitoria para evitar que el nuevo sistema acabara bloqueando, de golpe, comunicaciones perfectamente legítimas de bancos, administraciones, empresas de transporte o servicios esenciales. Los alias cuya inscripción hubiera sido solicitada antes de las 15:00 horas del 14 de septiembre de 2026, siempre que cumplieran los requisitos previstos, quedaron preinscritos temporalmente.

Esa preinscripción temporal no equivale a una aprobación definitiva. Se mantiene mientras concluye el procedimiento correspondiente y, según la regulación, dentro del plazo máximo aplicable de tres meses. Es, dicho sin barniz burocrático, un puente para que el registro pueda echar a andar sin provocar un atasco monumental justo en la puerta.

Menos terreno para el smishing, no una vacuna total

La razón de fondo está en una modalidad de fraude especialmente eficaz: el delincuente no necesita inventarse una empresa fantástica. Le basta con hacerse pasar por una conocida.

Un mensaje que aparenta proceder del banco y avisa de un supuesto movimiento sospechoso tiene más posibilidades de engañar cuando aparece bajo un nombre familiar. Lo mismo ocurre con falsas entregas de paquetes, facturas pendientes o avisos administrativos. El alias visible aporta una apariencia de autoridad que el usuario puede interpretar, erróneamente, como una garantía técnica de procedencia.

El nuevo esquema intenta romper esa ventaja. Para utilizar una marca o denominación como remitente hay que acreditar su vinculación y quedar incorporado al registro; si no se cumplen las condiciones, el mensaje debe ser filtrado antes de alcanzar al usuario.

No es una solución universal al fraude telefónico. Los estafadores pueden seguir utilizando números convencionales, otros canales digitales, dominios fraudulentos o técnicas de ingeniería social. Pero la suplantación mediante nombres comerciales en SMS pierde uno de sus trucos más eficaces: disfrazarse de una entidad conocida directamente en la cabecera del mensaje.

El nombre del remitente deja de ser una máscara

Durante años, recibir un SMS firmado con el nombre de una compañía generaba una confianza algo excesiva. El nombre estaba allí, ocupando el lugar del número, y nuestro cerebro hacía el resto: si pone el banco, será el banco. Una comodidad humana que también resultó muy cómoda para los estafadores.

El Registro de Alias introduce una capa que faltaba. Hay un titular identificado, unas reglas de uso, proveedores autorizados y un mecanismo público de consulta. No elimina el engaño digital ni convierte el móvil en una fortaleza, pero sí transforma el nombre del remitente en algo más que una palabra escrita en una pantalla.

Y ese matiz importa. En seguridad digital, muchas veces no se gana con una muralla inexpugnable —no existe—, sino quitándole al fraude pequeñas máscaras. La del falso nombre en los SMS acaba de hacerse bastante más difícil de llevar.