La CNMC ya ha puesto negro sobre blanco cómo funcionará el nuevo Registro de alias con el que España quiere cerrar una de las vías más habituales del fraude por SMS: los mensajes que aparentan venir de un banco, una empresa de mensajería o una administración pública gracias a un remitente alfanumérico fácilmente manipulable. La medida se articula a través de la Circular 1/2026, de 18 de marzo, publicada en el BOE, que desarrolla la Orden TDF/149/2025 y fija quién debe inscribirse, cómo debe hacerlo, qué operadores están obligados a bloquear y en qué plazos entrará todo en vigor.
El calendario es uno de los puntos más importantes. La norma deja claro que las obligaciones de bloqueo ligadas a los alias en SMS, MMS y RCS producirán efectos a partir del 7 de junio de 2026. Hasta entonces habrá un periodo de pruebas y adaptación técnica para que los operadores y agregadores ajusten sus sistemas al nuevo registro. A partir de esa fecha, los mensajes con alias no inscritos o enviados por proveedores no habilitados deberán ser bloqueados antes de llegar al usuario.
Qué cambia exactamente a partir de ahora
El cambio de fondo es sencillo de entender, aunque técnicamente tenga bastante complejidad detrás. Muchas empresas y administraciones envían mensajes usando un remitente alfanumérico en lugar de un número. Eso permite que el usuario vea en su móvil algo como “BANCO”, “CORREOS” o el nombre de una marca, en lugar de una cifra larga difícil de reconocer. El problema es que ese campo se ha convertido en una herramienta muy eficaz para el smishing, es decir, el phishing por SMS: los atacantes lo falsifican y colocan sus mensajes dentro del mismo hilo donde antes llegaban comunicaciones legítimas.
La respuesta regulatoria española consiste ahora en registrar previamente esos alias y vincularlos a un titular concreto y a unos proveedores autorizados para enviarlos. La CNMC será la encargada de gestionar ese registro y de poner su base de datos a disposición de los operadores que deban comprobar si un alias es válido o no. La circular explica además que el registro tendrá un portal web de acceso público que permitirá consultar los alias activos, sus titulares y la fecha de activación.
Quién tendrá que registrarse y qué mensajes quedarán bloqueados
La circular no apunta solo a las grandes telecos. En el nuevo sistema entran varios actores de la cadena de mensajería: operadores móviles de red, operadores móviles virtuales completos, agregadores de mensajería y determinados revendedores con capacidad técnica de bloqueo. Todos ellos deberán estar inscritos y adaptados para interactuar con el registro.
En cuanto a los alias, la obligación de registro recae sobre empresas y administraciones públicas que quieran utilizar un identificador alfanumérico como remitente de SMS, MMS o RCS dirigidos a números españoles. También podrán actuar en su nombre un proveedor de origen o un tercero autorizado. Además, las empresas extranjeras que quieran enviar mensajes con alias a usuarios españoles también deberán registrarlos, salvo los supuestos específicos ligados a itinerancia.
El bloqueo se aplicará en varios escenarios: cuando el alias no esté inscrito, cuando el proveedor que lo origina no esté habilitado para usarlo, cuando llegue desde un proveedor no registrado o cuando se incumplan las condiciones de trazabilidad fijadas por la norma. También se bloquearán, con carácter general, los mensajes con alias españoles recibidos desde el extranjero por una interfaz internacional de interconexión, salvo supuestos de roaming internacional.
Qué alias se podrán registrar y cuáles no
La CNMC no aceptará cualquier texto como identificador. Para SMS y MMS, la norma fija una longitud de entre 3 y 11 caracteres, admite letras, números y algunos símbolos concretos, pero prohíbe cadenas exclusivamente numéricas, espacios consecutivos, acentos y varios caracteres especiales. También veta alias genéricos que puedan inducir a engaño, como “Banco”, “Urgente” o “Mensaje”, además de expresiones ofensivas o nombres que puedan crear confusión con organismos oficiales o marcas ajenas.
La lógica general es que el alias tenga una vinculación legítima con su titular. Esa vinculación podrá acreditarse, por ejemplo, a través de una marca registrada, un nombre comercial, la denominación social o un dominio de internet. La CNMC podrá pedir documentación adicional en cualquier momento y también se reserva la capacidad de rechazar solicitudes que faciliten fraude, generen confusión o resulten ofensivas.
Habrá pruebas hasta junio y una carga masiva inicial
La circular contempla una fase transitoria para no provocar un corte abrupto en los servicios legítimos. Desde la entrada en vigor de la norma y hasta el 6 de junio de 2026, la CNMC habilitará un entorno de pruebas para que los proveedores adapten sus sistemas y descarguen la información del registro. Durante ese periodo, además, los proveedores de origen podrán realizar una carga masiva de alias ya en uso, de modo que después los titulares los confirmen y se acelere la incorporación al sistema.
Ese punto es importante porque muestra que el regulador es consciente del riesgo operativo de imponer de golpe un registro obligatorio en un mercado donde se envían millones de mensajes empresariales. Aun así, la ventana es corta: los operadores deben llegar al 7 de junio con sus sistemas ya preparados para bloquear y con capacidad de consultar el registro de forma diaria mediante API y credenciales específicas.
Qué pasará con los mensajes del extranjero y con el RCS
La circular también entra en un terreno especialmente delicado: los mensajes internacionales y el RCS, el estándar de mensajería enriquecida que empieza a ganar protagonismo frente al SMS clásico. En ambos casos, la CNMC deja claro que el registro también será aplicable a los alias usados en RCS.
En cuanto a los mensajes del extranjero, la regla general será el bloqueo si usan un alias no inscrito y se dirigen a un número español. La excepción es el usuario en itinerancia. En ese caso, si el abonado español está fuera de España y recibe un mensaje con alias desde una interfaz internacional, el operador móvil deberá gestionar ese tráfico de forma distinta. La norma llega incluso a precisar que, cuando proceda, el alias deberá sustituirse por la mención “NO VALIDADO”.
El objetivo: que el móvil deje de mezclar mensajes legítimos y fraudulentos
El trasfondo de todo esto es claro. El regulador y el Ministerio quieren impedir que los atacantes sigan aprovechando la confianza que generan los alias conocidos. El fraude funciona precisamente porque el teléfono agrupa los mensajes bajo el mismo remitente, lo que hace mucho más creíble una alerta falsa dentro de una conversación donde antes había mensajes reales del banco o de una empresa. La nueva arquitectura intenta romper esa posibilidad desde la red y desde la trazabilidad técnica del remitente.
La medida no va a eliminar por sí sola el fraude por mensajería, pero sí puede complicar bastante una de sus técnicas más eficaces. El reto estará ahora en la ejecución: que las empresas registren bien sus alias, que los operadores no fallen en el filtrado y que el sistema no introduzca fricciones excesivas para servicios legítimos. Si esa parte funciona, el 7 de junio puede convertirse en una fecha relevante para la seguridad de las comunicaciones móviles en España.
Preguntas frecuentes
¿Qué es exactamente un alias en SMS o RCS?
Es un identificador alfanumérico que aparece como remitente en mensajes SMS, MMS o RCS y que informa al usuario de quién envía el mensaje, pero no es un número al que se pueda responder.
¿Desde cuándo se bloquearán los mensajes con alias no registrados?
Las obligaciones de bloqueo previstas en la Orden TDF/149/2025 y desarrolladas por la Circular 1/2026 producirán efectos a partir del 7 de junio de 2026.
¿Qué empresas tendrán que registrar sus alias?
Las empresas y administraciones públicas que quieran enviar SMS, MMS o RCS a números españoles usando un remitente alfanumérico. También deberán registrarlos las empresas extranjeras que quieran enviar este tipo de mensajes a usuarios españoles, con las excepciones previstas por la norma.
¿Se podrá consultar públicamente si un alias está registrado?
Sí. La circular prevé un portal web de acceso público para consultar los alias activos, sus titulares y la fecha de activación.
