Lectura de 6 minActualizado: 18 de octubre de 2026
Durante años, cuando hablábamos de ciberseguridad, la conversación estaba centrada en proteger servidores, APIs, credenciales, redes y bases de datos. Pero la superficie de ataque cambió: el atacante ya no siempre necesita vulnerar una infraestructura, le alcanza con vulnerar primero la confianza del usuario. Ahí empieza la identidad de las comunicaciones.
El mensaje se volvió el canal principal porque el usuario se mudó
En México pasó algo que cambió el mapa: dejar de contestar llamadas de números desconocidos se volvió casi un reflejo, y el mensaje quedó como el lugar donde las empresas confirman lo importante. Con esa mudanza apareció la pregunta que antes no hacía falta responder: cuando llega un mensaje a nombre de un banco, ¿qué respalda ese nombre? La Condusef publica recomendaciones para que el usuario distinga los mensajes legítimos, y esa sola existencia describe bien el problema: hoy la carga de verificar recae en quien recibe.
Me interesa una lectura que casi no se hace. El problema de fondo no es el canal. Es que durante mucho tiempo cualquiera pudo escribir cualquier nombre en el campo del remitente.
Dónde quedó el hueco
Invertimos años en proteger APIs, tokens, certificados, redes privadas y credenciales. Aplicamos MFA, WAF, restricciones de acceso, trazabilidad y arquitecturas de alta disponibilidad. Y dejamos sin resolver lo único que el usuario efectivamente ve antes de decidir si confía: quién dice estar enviando ese mensaje.
Por eso me parece tan relevante la tendencia regulatoria hacia los registros de remitentes. No es burocracia: es cerrar la puerta que quedó abierta.
La nueva capa: identidad de las comunicaciones
Hoy ya no importa solamente quién accede a un sistema. Importa también cómo puede verificarse quién está enviando un mensaje, iniciando una conversación o presentándose frente al usuario como una organización.
Eso obliga a conectar elementos que históricamente se analizaron por separado:
Y con IA generativa haciendo cada vez más sencillo producir textos, voces e imágenes convincentes, esta capa de confianza va a adquirir todavía más relevancia. Un mensaje bien escrito ya no es señal de legitimidad: escribir bien dejó de ser caro.
Tres cosas que sí dependen de quien envía
- Consistencia absoluta. Una marca que nunca pide datos sensibles por mensaje, y que lo sostiene sin excepciones, le enseña a su gente a reconocer su forma de comunicarse. Una sola excepción destruye ese aprendizaje.
- Dominio propio en los enlaces. Un subdominio consistente es una señal de identidad. Un acortador genérico no dice nada sobre quién envía —y es exactamente lo que usa quien te suplanta.
- Un canal de verificación conocido. La gente necesita un lugar donde confirmar si un mensaje es legítimo, y tiene que ser siempre el mismo. Si cambia cada campaña, no existe.
Por qué esto es una discusión de arquitectura, no de comunicación
Hay una tentación de tratar esto como un tema de campañas o de educación al cliente. En mi experiencia es un tema de arquitectura: requiere inventario de remitentes, política de dominios, correlación entre canal y operación, y trazabilidad de cada mensaje enviado. Nada de eso se resuelve con un aviso en la app.
Para quienes trabajamos en tecnología, seguridad y comunicaciones, el desafío ya no termina en proteger la infraestructura. También tenemos que proteger la autenticidad de cada interacción digital entre una organización y sus usuarios. Creo que ahí se está formando una de las superficies de seguridad más importantes de los próximos años.
La confianza en un canal no se declara. Se construye siendo predecible durante mucho tiempo.
Cómo se ve la identidad del remitente en cada canal
La identidad no se resuelve igual en todos lados. Esto es lo que el usuario ve y lo que hay detrás en cada caso:
| Canal | Qué ve el usuario | Qué lo respalda | Qué le falta |
|---|---|---|---|
| SMS con remitente alfanumérico | Un nombre en lugar de un número | En los países con registro de remitentes, una autorización previa | Donde no hay registro, el nombre no está verificado por nadie |
| SMS desde código corto | Un número corto asociado a una marca | La asignación del código por el operador | El usuario no tiene forma simple de comprobar a quién pertenece |
| SMS desde número largo | Un número común y corriente | Nada en particular | No transmite identidad; solo permite responder |
| RCS con perfil verificado | Nombre, logo y marca de verificación | Validación del agente por Google y el operador | Depende del dispositivo y del operador; no llega a todos |
| Llamada con identificación | Un nombre en la pantalla | Programas de identificación del llamante, según el mercado | Cobertura despareja entre operadores |
Lo que se movió en 2026
Este artículo salió cuando la discusión regional estaba abierta. En lo que va del año se movió más de lo que esperaba, y casi todo en la misma dirección: hacia el remitente identificado.
- Colombia aprobó en agosto la Resolución CRC 8308: en doce meses, los mensajes de empresas deberán tener remitente identificado, código autorizado y formato preaprobado, validados antes de la entrega.
- Perú obliga a usar la serie 500 para llamadas y mensajes comerciales, con 180 días de plazo para los operadores.
- México avanza por dos lados: la CRT prepara reglas para mensajes y llamadas comerciales no solicitados, y la CNBV incorporó el SMS como medio válido para entregar códigos de autenticación en ciertas operaciones bancarias, vigente desde el 2 de septiembre.
- RCS con perfil verificado ya opera en la banca mexicana: BBVA lo usa desde enero de 2026 para alertas de movimientos y avisos de seguridad, con nombre y logo verificados.
El detalle que me parece más interesante es el orden en que están pasando las cosas. Primero se ordena quién puede escribir con un nombre, y recién después se le pide al usuario que confíe en ese nombre. Durante años lo hicimos al revés.
Qué hago mientras tanto
- Un remitente constante por tipo de tráfico, y separado: el transaccional no comparte remitente ni ruta con el comercial.
- Registrar los remitentes donde exista el registro, aunque todavía no sea obligatorio en el mercado principal.
- Nada de enlaces en los mensajes de autenticación, y lo mínimo indispensable de datos en el texto.
- Publicar en los canales propios —app, sitio, centro de ayuda— cuáles son los remitentes oficiales, para que el usuario tenga contra qué comparar.
- Monitorear la entrega por remitente y por operador: un cambio de comportamiento suele avisar antes que cualquier reclamo.
- Diseñar los flujos críticos para que la identidad no dependa de un solo canal: si el mensaje no llega o no se puede verificar, tiene que haber otro camino.
Sobre las señales de red que permiten evaluar el número antes de enviar, escribí en Network APIs de GSMA Open Gateway.
Fuentes
- Condusef: Comunicado de prensa 084 (8 de junio de 2026).
- La Jornada: México enfrenta ola de estafas digitales: Condusef (9 de junio de 2026).
Seguir leyendo
- Mapa por país: registro de remitentes SMS en América Latina y España — el estado de cada país en una sola tabla.
- Registro de remitentes SMS en España, Costa Rica y Colombia — qué exige cada esquema y qué protege de verdad.
- Network APIs de GSMA Open Gateway: SIM Swap y Number Verification — señales de red para el análisis de riesgo antes del OTP.
- Una SIM registrada no es una SIM confiable — por qué el padrón de titulares no alcanza como control.
