El 15 de septiembre de 2026 los operadores españoles empiezan a bloquear los mensajes cuyo alias de remitente no esté inscrito en el Registro de la CNMC. No es una recomendación ni un código de buenas prácticas: es la Orden TDF/149/2025 y la Circular 1/2026 de la Comisión Nacional de los Mercados y la Competencia. Si el alias no está registrado, el mensaje no sale con ese nombre. La empresa puede seguir enviando, pero sin identificarse.
Lo interesante no es el caso español aislado. Es que en los últimos meses tres reguladores distintos llegaron a la misma conclusión por tres caminos diferentes. Y México, que es el mercado donde opero todos los días, todavía no dio esa discusión.
España fue por la identidad
El modelo español es un registro de alias: quién es el titular de un remitente alfanumérico y quién está autorizado a usarlo. Alcanza a cualquier entidad que envíe SMS, MMS o RCS usando un alias como remitente —bancos, aseguradoras, comercios, transporte y administraciones públicas—, y la CNMC estuvo llamando activamente a las empresas a inscribirse antes de la fecha de corte para evitar interrupciones.
La lógica es sencilla y, en mi opinión, correcta: durante años cualquiera pudo escribir cualquier nombre en el campo del remitente. Invertimos una década protegiendo APIs, tokens, certificados, redes privadas y credenciales, y dejamos sin resolver lo único que el usuario efectivamente ve antes de decidir si confía: quién dice estar enviando ese mensaje.
Costa Rica fue por la detección
El reglamento de la SUTEL, publicado en junio de 2026, no obliga a registrar remitentes: obliga a los operadores a identificar, diferenciar y filtrar mensajes sospechosos antes de entregarlos, separando el tráfico entre personas del tráfico originado en aplicaciones, con trazabilidad de punta a punta. Los operadores tienen 18 meses para implementarlo.
Es un enfoque de red, no de padrón. En lugar de preguntar quién es el titular del alias, exige que la red sepa distinguir un mensaje persona a persona de uno A2P, y que pueda frenar el segundo cuando presenta señales de fraude.
Colombia fue por la transparencia
La propuesta de la CRC, en consulta pública desde junio de 2026, va por una tercera vía: identificadores visuales del origen en la cabecera del mensaje, validación estricta para quienes hacen envíos masivos y un comité técnico contra el fraude en redes móviles. Es decir, no cambia tanto quién puede enviar, sino cuánta información recibe el destinatario para decidir.
| Mercado | Instrumento | Enfoque | Quién carga el esfuerzo |
|---|---|---|---|
| España | Orden TDF/149/2025 + Circular 1/2026 (CNMC) | Registro de alias de remitente | La empresa emisora |
| Costa Rica | Reglamento SUTEL (junio 2026) | Detección y filtrado en red, con 18 meses de plazo | El operador |
| Colombia | Propuesta CRC (consulta desde junio 2026) | Identificación visual del origen y validación de envíos masivos | Operador y emisor |
| México | — | Sin esquema equivalente de identidad del remitente | — |
Tres caminos, una misma premisa
Que el receptor pueda saber quién le está escribiendo ya no puede depender de la buena fe del emisor.
Esa es la frase que comparten los tres marcos, aunque ninguno la escriba así. España la resuelve antes del envío, Costa Rica durante el tránsito y Colombia en el momento de la lectura. Son capas distintas del mismo problema y, técnicamente, no se excluyen: un mercado maduro va a terminar teniendo las tres.
El punto incómodo para México
México no tiene hoy un esquema equivalente de identidad del remitente. Lo que sí tuvo fue el PANAUT, que iba exactamente por el lado opuesto: registrar al usuario en lugar de al emisor. Terminó declarado inconstitucional, y en el debate público se discutió mucho la privacidad y bastante menos si el padrón realmente iba a reducir el fraude.
No creo que esta discusión se pueda postergar mucho más. El smishing no distingue fronteras y los defraudadores reutilizan las mismas plantillas en los cuatro mercados. Lo que sí se puede elegir es cómo llegar al día en que la norma exista.
Qué puede hacer una empresa hoy, sin esperar al regulador
Acá está la parte práctica, y es más simple de lo que parece. Una empresa con un inventario ordenado de remitentes cumple cualquiera de los tres modelos con un trámite. Una que emite desde quince alfanuméricos distintos, heredados de tres proveedores y sin nadie que sepa cuál es cuál, tiene un problema operativo el día que salga la norma.
- Inventario completo de remitentes. Todos los alias alfanuméricos y números cortos o largos desde los que la organización le escribe a un cliente, incluidos los que contrató un área que ya no existe.
- Un dueño por remitente. Área responsable, persona de contacto y razón de negocio. Si nadie lo reclama, es candidato a baja.
- Proveedor y ruta. Por qué agregador sale cada uno y desde cuándo. Es el dato que más cuesta reconstruir después.
- Consistencia de marca. Cuántas variantes del mismo nombre existen. Cada variante extra es una oportunidad para quien quiera suplantarte.
- Dominio propio en los enlaces. Un subdominio consistente es una señal de identidad; un acortador genérico no dice nada sobre quién envía.
- Un canal de verificación conocido. Un lugar donde el cliente pueda confirmar si un mensaje es legítimo, y que sea siempre el mismo.
Por qué esto no es un problema de cumplimiento, es de arquitectura
Hay una tentación natural de tratar el registro de remitentes como un trámite legal. En mi experiencia es un error. El inventario de remitentes es, en la práctica, el mapa de todos los puntos por los que tu organización habla con un cliente. Si ese mapa no existe, tampoco existe una política coherente de comunicación, ni una forma de medir qué porcentaje del tráfico es transaccional y qué porcentaje es comercial, ni una manera de detectar que alguien está usando tu nombre.
La consistencia absoluta es lo que construye la señal: una marca que nunca pide datos sensibles por mensaje, y que lo sostiene sin excepciones, le enseña a su gente a reconocer su forma de comunicarse. Una sola excepción destruye ese aprendizaje.
¿Alguien en tu organización sabría decir hoy, sin preguntar, con cuántos remitentes distintos le escribe la empresa a un mismo cliente?