Lectura de 7 minActualizado: 22 de octubre de 2026
El 1 de septiembre de 2026 la CNBV publicó en el Diario Oficial de la Federación una reforma que habilita el SMS para entregar códigos de autenticación bancaria en ciertas operaciones. Entró en vigor al día siguiente. Para quien opera un canal crítico, la noticia no es que el SMS “vuelva”: es que ahora hay un marco explícito que dice en qué operaciones se puede usar. Lo que la regla no dice, y es donde se gana o se pierde, es cómo implementarlo.
Qué cambió exactamente en la autenticación bancaria
En las operaciones realizadas a través de comisionistas de base tecnológica —las apps y los sitios de intermediarios digitales— los factores de autenticación de categoría 3 solo podían entregarse por correo electrónico o por servicios de mensajería instantánea cifrada. La reforma suma el número de teléfono móvil con capacidad de recibir SMS como medio válido.
El alcance está acotado a cuatro tipos de operación:
- Apertura de cuentas de nivel 2 y las transferencias asociadas.
- Créditos de hasta 3,000 UDIS.
- Pago de bienes y servicios.
- Consulta de saldos y movimientos.
Para las consultas de saldos y movimientos la regla se simplifica todavía más: alcanza con un factor de categoría 2. Además, el usuario tiene que poder cambiar desde la plataforma del banco el medio que dejó registrado —correo, mensajería cifrada o número móvil—, con la opción a la vista.
Las cuatro categorías, en los términos de la regulación
| Categoría | Qué es | Ejemplo típico |
|---|---|---|
| 1 | Información que el usuario conoce y la institución valida mediante cuestionarios en un centro de atención telefónica | Preguntas de validación |
| 2 | Información que solamente el usuario conoce | Contraseña, NIP |
| 3 | Información contenida, recibida o generada en medios o dispositivos que el usuario posee | Token, contraseña dinámica de un solo uso (OTP) |
| 4 | Información derivada de las características físicas del usuario | Huella dactilar, geometría de la mano, iris |
El OTP entregado por SMS entra en la categoría 3: el código llega a un medio que el usuario posee. Eso es lo que la reforma reconoce.
Lo que no cambió
- No habilita el SMS para cualquier operación ni para toda la banca: el cambio vive dentro del capítulo de operaciones con comisionistas de base tecnológica.
- Las operaciones de mayor riesgo mantienen requisitos más exigentes, y la tendencia regulatoria en México sigue sumando biometría en ese tramo.
- La regla habilita un canal, no un diseño. Todo lo que hace que un OTP funcione o falle en producción sigue del lado de quien lo implementa.
Cómo diseño un OTP por SMS para que la regla sirva
Lo que sigue es el criterio con el que reviso una implementación de OTP antes de que salga a producción. No es una lista teórica: cada punto viene de algo que vi romperse.
1. Un código por operación y con vida corta
El código se ata a una operación, no a una sesión: se genera con un generador criptográfico, se guarda solo su hash y se invalida en el primer uso. La vigencia razonable va de 60 segundos a 5 minutos según el riesgo de la operación. Cuando el usuario pide un reenvío, el código anterior deja de servir; tener dos códigos válidos al mismo tiempo es la forma más común de ensuciar la métrica de verificación.
2. Reintentos y reenvíos con límites explícitos
Tres a cinco intentos de verificación por operación, y después el flujo se reinicia. Entre reenvíos, una espera creciente —30, 60, 120 segundos— y un tope por número por hora y por día. Sin esos límites, un error de integración del lado del cliente se convierte en miles de mensajes en minutos.
3. El contenido del mensaje
- Remitente constante y reconocible, el mismo en todos los mensajes del banco.
- El código al principio, en una línea, sin texto que lo separe.
- Sin enlaces. Un OTP legítimo no necesita que el usuario haga clic en nada.
- Sin datos de la operación que no hagan falta: monto y destinatario rara vez aportan y sí exponen información.
- Formato compatible con el autocompletado de Android e iOS, para que el usuario no tenga que copiar a mano. Desde Android 17, además, el formato del mensaje define qué apps pueden leer el código.
4. Entregabilidad con respaldo
Una sola ruta de entrega no es una arquitectura. Lo mínimo es tener rutas alternativas por operador, reglas de reintento distintas según el motivo del fallo y un canal de respaldo por voz para los casos en que el SMS no llega. Los acuses de entrega se leen por operador: una caída suele ser de una ruta, no del canal completo.
5. Latencia, no solo entrega
La tasa de entrega sola engaña. Lo que importa es el tiempo entre la solicitud y la entrega, medido en percentil 95. El abandono empieza alrededor de los 30 segundos: una entrega del 99% con un p95 de 90 segundos pierde usuarios igual, solo que en silencio.
6. Señales antes de enviar
Antes de generar el código se puede consultar información que cambia la decisión: cambio reciente de SIM, verificación del número contra la red del operador, portabilidad reciente, velocidad de solicitudes por número y por IP. Escribí sobre esto en Network APIs de GSMA Open Gateway: el número deja de ser un dato fijo y pasa a ser una señal consultable.
7. Evidencia y registros
Para una operación bancaria hay que poder reconstruir qué pasó: identificador de la operación, marca de tiempo de cada estado, ruta usada, acuse del operador y resultado de la verificación. El código nunca se guarda en claro y el número conviene almacenarlo con el mismo criterio que cualquier dato personal. En ISO/IEC 27001:2022 esto cae en los controles 8.15, de registros, y 5.34, de privacidad y protección de datos personales.
Qué reviso todas las semanas
| Métrica | Qué me dice |
|---|---|
| Tasa de entrega por operador | Una caída aislada es un problema de ruta, no del canal |
| Tiempo a la entrega (p50 y p95) | El p95 es el que explica los abandonos |
| Tasa de verificación | Proporción de códigos enviados que el usuario efectivamente usó |
| Tasa de reenvío | Si sube, el primer mensaje no está llegando o no se entiende |
| Intentos fallidos por usuario | Separa el problema de entrega del problema de usabilidad |
| Uso del respaldo por voz | Mide cuánto depende el flujo del plan B |
Checklist antes de habilitar el canal
- La operación está dentro del alcance de la regla.
- El usuario puede cambiar y confirmar su número desde la plataforma.
- Vigencia, longitud e invalidación del código están definidas por tipo de operación.
- Hay límites de intentos, de reenvíos y topes por número.
- El texto del mensaje está aprobado, sin enlaces y con remitente constante.
- Hay ruta alternativa y respaldo por voz probados, no solo configurados.
- Se miden entrega, latencia y verificación, con alertas por operador.
- Los registros permiten reconstruir cada operación y la retención está definida.
Preguntas frecuentes
¿La CNBV obliga a usar SMS?
No. Lo habilita como medio válido para entregar factores de categoría 3 en las operaciones alcanzadas. La institución elige si lo usa y bajo qué condiciones.
¿Desde cuándo aplica?
La resolución se publicó en el DOF el 1 de septiembre de 2026 y entró en vigor el 2 de septiembre.
¿El SMS reemplaza a la biometría o a las passkeys?
No. Conviven por nivel de riesgo: el OTP resuelve la posesión de un medio, la biometría resuelve la característica física y las passkeys resuelven la autenticación en el dispositivo. Un diseño sensato usa el factor que corresponde a cada operación.
Fuentes
- CNBV, Disposiciones de carácter general aplicables a las instituciones de crédito (definiciones de factores de autenticación).
- Expansión, 2 de septiembre de 2026.
- Unotv, septiembre de 2026.
Seguir leyendo
- Guía: OTP por SMS en la banca de México — la referencia completa: regulación, diseño del mensaje, límites, señales de red y métricas.
- Anexo 71 de la CNBV: biometría con estándares y con plazo — qué exige la CNBV a la verificación biométrica en la banca.
- Banxico homologa el flujo de las transferencias móviles — qué cambia con la Circular 9/2026 para los mensajes al cliente.
- Network APIs de GSMA Open Gateway: SIM Swap y Number Verification — señales de red para el análisis de riesgo antes del OTP.
- Identidad de las comunicaciones — cómo se resuelve la identidad de quien envía.
- Registro de remitentes SMS en España, Costa Rica y Colombia — qué exige cada esquema y qué protege de verdad.
- Padrón de telefonía móvil: qué pasa con el OTP cuando la línea está suspendida — qué pasa con la autenticación por SMS cuando el padrón suspende la línea del cliente.
