El BOE del sábado 12 de septiembre ha publicado la Circular 3/2026, un documento que activa una preinscripción transitoria y que marca el inicio oficial, mañana 15 de septiembre, del sistema de bloqueo de mensajes SMS con identificadores falsos. La medida, que debía haberse implantado el 7 de junio, llega tres meses después de la fecha prevista y con un panorama operativo que la CNMC califica de «significativamente elevado» en volumen de solicitudes. Miles de alias siguen sin validar y el regulador admite la «imposibilidad material» de resolverlo todo antes de la fecha límite.

La preinscripción transitoria: una ventana de tres meses para los alias ya solicitados

La Circular establece un mecanismo de continuidad para aquellos alias cuya solicitud se haya presentado antes de hoy, 14 de septiembre a las 15:00 hora peninsular. Estos identificadores podrán seguir utilizándose mientras la CNMC completa su revisión, siempre que cumplan los requisitos establecidos. La vigencia de esta preinscripción se extenderá hasta la resolución definitiva de cada solicitud, con un plazo máximo de 3 meses para completar todo el proceso. Es decir, durante ese trimestre habrá un período de convivencia entre alias válidos, pendientes y, eventualmente, bloqueados.

La CNMC explica en el propio BOE que las semanas previas se han acumulado un volumen muy alto de peticiones y un gran número de alias a la espera de validación definitiva. A ello se suman los retrasos y la falta de respuesta de algunos titulares ante las comunicaciones electrónicas enviadas durante el proceso. Por eso, el regulador habla de «imposibilidad material» de resolver todas las solicitudes antes del 15 de septiembre. La decisión de aplicar el bloqueo sin una transición podría limitar comunicaciones legítimas utilizadas en servicios esenciales, procesos críticos o mensajes transaccionales de empresas y Administraciones.

La magnitud del desafío: 3.565 alias activos y más de 4.000 pendientes

Los números ilustran la dimensión del problema. El pasado 10 de septiembre, la CNMC contabilizaba 3.565 alias inscritos. Sin embargo, las estimaciones manejaban entonces más de 4.000 solicitudes pendientes de aprobación. Una cifra que deja claro que el registro no estaba preparado para la fecha original del 7 de junio. El propio Gobierno retrasó la entrada en vigor hasta el 15 de septiembre alegando la complejidad técnica y operativa del sistema y el riesgo de bloquear mensajes legítimos si el despliegue se hacía demasiado rápido.

Tres meses después de la primera fecha prevista, España no ha sido capaz de poner en marcha un sistema de protección para los usuarios. A un servidor no le sorprende nada, acostumbrado a ver cómo avanza la burocracia en este país. Aun así, la realidad es que es bastante triste que siga pasando esto en pleno 2026. La medida, nacida con vocación de cerrar una de las vías más utilizadas en las campañas de smishing, llega con el reloj en contra y con un volumen de trabajo que la CNMC reconoce que no puede asumir en el plazo inicial.

Qué cambia mañana cuando recibas un SMS de tu banco o de una empresa

A partir de mañana, la CNMC dispondrá de un registro que incluirá el alias que podrá usar cada entidad y qué proveedores pueden enviar mensajes con ese nombre. Cuando nos lleguen mensajes desde alias que no estén inscritos, procedan de un proveedor no registrado o ese proveedor no esté autorizado por el titular, nuestra compañía deberá bloquearlos. Para el usuario será bastante transparente y quedará de esa manera: un filtro que actúa en segundo plano sin intervención visible.

Sin embargo, hay que ser conscientes de que esta nueva medida no acabará con todas las estafas por SMS. Los delincuentes podrán seguir utilizando números convencionales, cuentas comprometidas, enlaces fraudulentos, llamadas, WhatsApp o cualquier otra técnica de ingeniería social. El Registro de Alias lo único que cierra es una vía concreta de hacerlo: la suplantación del identificador textual que aparece en la parte superior del mensaje. Hasta ahora, era relativamente sencillo falsificar este tipo de identificadores y se había convertido en una herramienta muy utilizada en campañas de smishing, ya que ayuda a darle veracidad al mensaje.

Hablamos de alias cuando nos referimos al texto que aparece en la parte superior de un mensaje en lugar de un número convencional. Puede ser el nombre de tu banco, una empresa de paquetería, una aseguradora, una aerolínea o una Administración. A partir de mañana, la ley es mucho más restrictiva y el ecosistema de comunicaciones digitales en España da un paso adelante, aunque sea con retraso y con un perímetro de transición que aún deja miles de solicitudes sin resolver.

La pregunta que queda es si los tres meses de plazo otorgados por la CNMC serán suficientes para completar la revisión de los más de 4.000 alias pendientes y si el sistema, una vez consolidado, tendrá la capacidad de responder a un volumen de solicitudes que no deja de crecer. Lo cierto es que la lucha contra el smishing no puede esperar y cada día que pasa sin un registro operativo al 100% es un día más en el que los ciudadanos están expuestos a una vía de fraude que podría haberse cerrado hace meses.