Lectura de 8 minActualizado: 24 de octubre de 2026
Actualización (octubre 2026): este análisis quedó ampliado y al día en el mapa de registro de remitentes SMS por país, que cubre más países y se mantiene actualizado.
Desde el 15 de septiembre de 2026 los operadores españoles bloquean los mensajes cuyo alias de remitente no esté inscrito en el Registro de la CNMC. No es una recomendación ni un código de buenas prácticas: es la Orden TDF/149/2025, con la fecha de bloqueo fijada por la Orden TDF/558/2026, y la Circular 1/2026 de la Comisión Nacional de los Mercados y la Competencia. Si el alias no está registrado, el mensaje no sale con ese nombre. La empresa puede seguir enviando, pero sin identificarse. Así funciona hoy el registro de remitentes SMS en España.
Lo interesante no es el caso español aislado. Es que en los últimos meses tres reguladores distintos llegaron a la misma conclusión por tres caminos diferentes. Y México, que es el mercado donde opero todos los días, todavía no dio esa discusión.
España: un registro de remitentes SMS centrado en la identidad
El modelo español es un registro de alias: quién es el titular de un remitente alfanumérico y quién está autorizado a usarlo. Alcanza a cualquier entidad que envíe SMS, MMS o RCS usando un alias como remitente —bancos, aseguradoras, comercios, transporte y administraciones públicas—, y la CNMC estuvo llamando activamente a las empresas a inscribirse antes de la fecha de corte para evitar interrupciones. A pocos días del corte, el registro sumaba 13.565 alias inscritos y unas 5.000 solicitudes en revisión, según El Debate.
La lógica es sencilla y, en mi opinión, correcta: durante años cualquiera pudo escribir cualquier nombre en el campo del remitente. Invertimos una década protegiendo APIs, tokens, certificados, redes privadas y credenciales, y dejamos sin resolver lo único que el usuario efectivamente ve antes de decidir si confía: quién dice estar enviando ese mensaje.
Costa Rica fue por la detección
La regulación que la SUTEL aprobó en junio de 2026 no obliga a registrar remitentes: obliga a los operadores a identificar, diferenciar y filtrar mensajes sospechosos antes de entregarlos, separando el tráfico entre personas del tráfico originado en aplicaciones, con trazabilidad de punta a punta. Los operadores tienen 18 meses para implementarlo.
Es un enfoque de red, no de padrón. En lugar de preguntar quién es el titular del alias, exige que la red sepa distinguir un mensaje persona a persona de uno A2P, y que pueda frenar el segundo cuando presenta señales de fraude.
Colombia fue por la transparencia
La CRC fue por una tercera vía. Después de una consulta pública en junio, el 30 de julio de 2026 adoptó la Resolución CRC 8308: alertas visibles de llamada sospechosa, validación del remitente (Sender ID) en los mensajes empresariales, monitoreo de envíos masivos y un comité técnico contra el fraude en redes móviles. Es decir, no cambia tanto quién puede enviar, sino cuánta información recibe el destinatario para decidir.
| Mercado | Instrumento | Enfoque | Quién carga el esfuerzo |
|---|---|---|---|
| España | Orden TDF/149/2025 + Circular 1/2026 (CNMC) | Registro de alias de remitente | La empresa emisora |
| Costa Rica | Regulación SUTEL (junio 2026) | Detección y filtrado en red, con 18 meses de plazo | El operador |
| Colombia | Resolución CRC 8308 (julio 2026) | Alertas de origen sospechoso, validación del remitente y monitoreo de envíos masivos | Operador y emisor |
| México | — | Sin esquema equivalente de identidad del remitente | — |
Tres caminos, una misma premisa
Que el receptor pueda saber quién le está escribiendo ya no puede depender de la buena fe del emisor.
Esa es la frase que comparten los tres marcos, aunque ninguno la escriba así. España la resuelve antes del envío, Costa Rica durante el tránsito y Colombia en el momento de la lectura. Son capas distintas del mismo problema y, técnicamente, no se excluyen: un mercado maduro va a terminar teniendo las tres.
Qué significa el registro de remitentes SMS para México
México no tiene hoy un esquema equivalente de identidad del remitente. Lo que sí tuvo fue el PANAUT, que iba exactamente por el lado opuesto: registrar al usuario en lugar de al emisor. Terminó declarado inconstitucional, y en el debate público se discutió mucho la privacidad y bastante menos si el padrón realmente iba a reducir el fraude.
No creo que esta discusión se pueda postergar mucho más. El smishing no distingue fronteras y los defraudadores reutilizan las mismas plantillas en los cuatro mercados. Lo que sí se puede elegir es cómo llegar al día en que la norma exista.
Qué puede hacer una empresa hoy, sin esperar al regulador
Aquí está la parte práctica, y es más simple de lo que parece. Una empresa con un inventario ordenado de remitentes cumple cualquiera de los tres modelos con un trámite. Una que emite desde quince alfanuméricos distintos, heredados de tres proveedores y sin nadie que sepa cuál es cuál, tiene un problema operativo el día que salga la norma.
- Inventario completo de remitentes. Todos los alias alfanuméricos y números cortos o largos desde los que la organización le escribe a un cliente, incluidos los que contrató un área que ya no existe.
- Un dueño por remitente. Área responsable, persona de contacto y razón de negocio. Si nadie lo reclama, es candidato a baja.
- Proveedor y ruta. Por qué agregador sale cada uno y desde cuándo. Es el dato que más cuesta reconstruir después.
- Consistencia de marca. Cuántas variantes del mismo nombre existen. Cada variante extra es una oportunidad para quien quiera suplantarte.
- Dominio propio en los enlaces. Un subdominio consistente es una señal de identidad; un acortador genérico no dice nada sobre quién envía.
- Un canal de verificación conocido. Un lugar donde el cliente pueda confirmar si un mensaje es legítimo, y que sea siempre el mismo.
Por qué esto no es un problema de cumplimiento, es de arquitectura
Hay una tentación natural de tratar el registro de remitentes como un trámite legal. En mi experiencia es un error. El inventario de remitentes es, en la práctica, el mapa de todos los puntos por los que tu organización habla con un cliente. Si ese mapa no existe, tampoco existe una política coherente de comunicación, ni una forma de medir qué porcentaje del tráfico es transaccional y qué porcentaje es comercial, ni una manera de detectar que alguien está usando tu nombre.
La consistencia absoluta es lo que construye la señal: una marca que nunca pide datos sensibles por mensaje, y que lo sostiene sin excepciones, le enseña a su gente a reconocer su forma de comunicarse. Una sola excepción destruye ese aprendizaje.
¿Alguien en tu organización sabría decir hoy, sin preguntar, con cuántos remitentes distintos le escribe la empresa a un mismo cliente?
Actualización de septiembre de 2026
Desde que escribí este artículo, el mapa se movió en tres puntos que cambian el pronóstico para México.
- Perú sumó un cuarto camino: por decreto supremo, las llamadas y los mensajes comerciales deben usar la serie 500, con 180 días de plazo para los operadores y sanción de infracción muy grave. Es la versión más simple de todas: no registra al remitente, lo encasilla en un rango numérico reconocible. Ver la nota.
- México empezó a moverse. La CRT prepara reglas para llamadas y mensajes comerciales no solicitados, con derecho del usuario a rechazar publicidad y trazabilidad de los contratos de publicidad; al cierre de esta actualización todavía no se publicó la consulta. En paralelo, la CNBV incorporó el SMS como medio válido para entregar códigos de autenticación en operaciones con comisionistas de base tecnológica, vigente desde el 2 de septiembre de 2026.
- La identidad también avanzó por el lado del canal. El RCS con perfil verificado ya está en producción en la banca mexicana: BBVA lo usa desde enero de 2026 para alertas y avisos de seguridad. Donde el registro de remitentes no llega, la verificación del perfil hace parte del trabajo.
Mi lectura no cambió: cuando la norma llegue, va a pedir lo que una plataforma ordenada ya debería tener —remitentes declarados, tráfico separado por tipo y trazabilidad de cada envío—. Lo que cambió es el plazo. Con dos países de la región con reglas aprobadas y la CRT trabajando en las suyas, conviene tratar esto como un proyecto con fecha, no como una tendencia.
Fuentes
- BOE: Orden TDF/149/2025, de 12 de febrero (15 de febrero de 2025).
- BOE: Orden TDF/558/2026, que fija el bloqueo desde el 15 de septiembre de 2026 (5 de junio de 2026).
- El Debate: Adiós a los SMS con remitentes sin registrar: las operadoras los bloquearán desde el 15 de septiembre (10 de septiembre de 2026).
- BOE: Circular 1/2026 de la CNMC, que regula el Registro de Alias (27 de marzo de 2026).
- BOE: Circular 3/2026 de la CNMC, que modifica la Circular 1/2026 (12 de septiembre de 2026).
- CNMC: Modificación de la circular del Registro de alias (5 de junio de 2026).
- SUTEL: SUTEL fortalece su regulación para proteger a usuarios ante mensajes malintencionados (24 de junio de 2026).
- CRC: Alerta para llamadas sospechosas y bloqueo a mensajes sin verificar (Resolución CRC 8308) (30 de julio de 2026).
- SCJN, Diario Oficial de la Federación: Sentencia de la Acción de Inconstitucionalidad 82/2021 (PANAUT) (publicada el 12 de diciembre de 2022).
Seguir leyendo
- Mapa por país: registro de remitentes SMS en América Latina y España — el estado de cada país en una sola tabla.
- Identidad de las comunicaciones: la superficie de seguridad que dejamos sin resolver — cómo se resuelve la identidad de quien envía.
- Una SIM registrada no es una SIM confiable — por qué el padrón de titulares no alcanza como control.
- Network APIs de GSMA Open Gateway: SIM Swap y Number Verification — señales de red para el análisis de riesgo antes del OTP.
