Qué cambia con los SMS que llegan con nombre de banco
El cambio está en el remitente. Hasta ahora, un usuario podía recibir un SMS en el que no aparecía un número de teléfono, sino un nombre alfanumérico que aparentaba ser el de su banco. Ese identificador es lo que la normativa llama alias: una cadena de caracteres que informa del remitente, pero que no permite responder directamente como si fuera un número convencional.
La CNMC gestionará el Registro de Alias, una base de datos en la que empresas y administraciones deberán inscribir los nombres comerciales o marcas que quieran usar como remitentes en mensajes SMS, MMS o RCS enviados a números españoles. Si un banco, una energética o una empresa de paquetería quiere usar su nombre como remitente, deberá acreditar su vinculación legítima con ese alias.
La consecuencia práctica es clara: solo deberían llegar al móvil los mensajes con alias previamente inscritos y enviados por proveedores habilitados. Los operadores deberán bloquear los mensajes con alias no registrados o los que, aunque estén inscritos, no procedan de un proveedor autorizado en el Registro.
Por qué importa a los clientes bancarios
Para el cliente, el punto importante no es técnico. Es de seguridad. El Banco de España ya advertía de una de las trampas más peligrosas del smishing: SMS que simulan ser el banco y que incluso pueden aparecer en la misma conversación donde antes llegaron mensajes reales de la entidad, como avisos o claves de operaciones.
El Registro de Alias pretende cerrar una puerta concreta: que un tercero use el nombre de un banco como remitente sin estar autorizado. Eso puede hacer más difícil que un mensaje falso parezca legítimo solo por aparecer bajo un nombre reconocible. Pero conviene no confundirlo con una protección total. Un SMS con apariencia seria puede seguir siendo peligroso si pide claves, datos de tarjeta, contraseñas, códigos de firma o entrar en un enlace urgente.
La medida no cambia por sí misma las comisiones de una cuenta, una tarjeta o una transferencia. Aun así, afecta a la relación diaria con el banco: avisos de seguridad, códigos de verificación, comunicaciones operativas y confianza en el canal móvil. Quien compare bancos y cuentas sin comisiones debería mirar también la seguridad de los avisos, la claridad de los canales oficiales y la atención cuando hay un incidente.
La letra pequeña: qué bloqueará y qué no
La obligación no cubre cualquier mensaje que llegue al móvil. Se centra en SMS, MMS y RCS con alias enviados a números españoles. La propia circular de la CNMC aclara que no se aplica a mensajes cuyo identificador sea únicamente numérico ni a mensajes dirigidos a destinatarios que no sean números españoles.
Esto significa que el Registro de Alias no acabará con todas las estafas. Los delincuentes pueden intentar usar números normales, llamadas, correos electrónicos, WhatsApp u otros canales. INCIBE recuerda que el smishing suele buscar que el usuario pulse un enlace, llame a un número o facilite información personal o bancaria.
También hay un matiz temporal. La obligación de bloqueo estaba prevista inicialmente para el 7 de junio de 2026, pero el BOE publicó el aplazamiento al 15 de septiembre de 2026 para permitir culminar el proceso técnico y evitar bloqueos indebidos de alias legítimos. No es una marcha atrás en la medida, sino una prórroga para que el sistema llegue operativo.
Qué conviene vigilar desde septiembre
El cambio puede ayudar, pero no sustituye la prudencia. Si un SMS dice que tu cuenta se va a bloquear, que hay una operación sospechosa o que debes entrar en un enlace para anular un cargo, la respuesta no debería ser pinchar. Lo razonable es entrar por la app oficial, escribir manualmente la dirección web del banco o llamar al número que figure en los canales oficiales, no al que aparezca en el mensaje.
En banca digital, la comodidad tiene que ir acompañada de controles básicos. Quienes operan casi siempre desde el móvil o usan cuentas online deben revisar qué canales usa su entidad para notificar operaciones, cómo se bloquea una tarjeta desde la app y dónde consultar movimientos si aparece un cargo que no reconocen.
Si el cliente ha facilitado datos bancarios en un SMS sospechoso, INCIBE recomienda contactar cuanto antes con el banco, revisar movimientos, cambiar contraseñas si se han compartido credenciales y tomar medidas para proteger la cuenta. El servicio 017 de INCIBE ofrece ayuda gratuita y confidencial en ciberseguridad para ciudadanos y empresas.
El Registro de Alias hará más difícil una suplantación concreta: recibir un SMS falso con el nombre de un banco como remitente. La clave, aun así, seguirá estando en no entregar claves, códigos ni datos bancarios por un enlace recibido en un mensaje. En seguridad bancaria, un remitente conocido ayuda, pero no basta.
