El cambio antifraudes que llega hoy a los SMS de tu banco: así podrás saber si el remitente es quien dice ser
Desde el 15 de septiembre solo podrán usar "alias" al mandar mensajes las entidades oficiales aprobadas por la CNMC
Las tres estafas más frecuentes en España y cómo evitarlas: "Cuando llega un mensaje con una urgencia no suele ser real"
Desde el martes 15 de septiembre, los operadores de telecomunicaciones españoles están obligados a bloquear cualquier SMS, MMS o mensaje RCS cuyo remitente sea un nombre comercial que no esté previamente inscrito en el Registro de Alias de la Comisión Nacional de los Mercados y la Competencia.
Un alias es la forma habitual en la que los bancos, las aseguradoras, Correos, las compañías eléctricas o las administraciones se identifican al enviar mensajes. De esta manera, en el móvil aparece "BBVA", "Santander", "Correos" o "AEAT" en lugar de un número de teléfono. Hasta ahora, cualquier remitente podía usar esos identificadores. Lo que posibilitaba que cualquier estafador pudiera enviar un mensaje haciéndose pasar por un banco desde un servidor externo, con el móvil del receptor mostrando el nombre correcto sin que existiera ninguna verificación. A partir de hoy, solo pueden usar esos alias las entidades que los tienen registrados a su nombre en el propio registro de la CNMC.
Cómo funciona el nuevo sistema
El Registro de Alias vincula cada nombre comercial a un titular concreto, ya sea una marca registrada, una denominación social o un dominio, y a la lista específica de proveedores de mensajería habilitados para enviarlo. Cuando un mensaje llega a la red del operador, este verifica que el alias figure en la base de datos y que el proveedor que lo envía sea uno de los autorizados.
En el caso de que alguna de esas dos condiciones falle, el mensaje se bloquea antes de llegar al móvil del destinatario. La medida afecta a todos los mensajes dirigidos a números españoles, incluidos los enviados desde el extranjero, con excepciones limitadas para itinerancia. Los mensajes que se identifican solo con un número de teléfono quedan fuera de este registro, aunque estén sujetos a otras reglas antifraude.
Qué implica para los clientes de un banco
Para un usuario de cualquier banco, los códigos de verificación que llegan por SMS al hacer un pago con tarjeta, iniciar sesión desde un dispositivo nuevo, recuperar la contraseña de la app o validar una transferencia suponen probablemente el uso más habitual del sistema. La propia CNMC ha confirmado que estos mensajes también quedan afectados por la medida.
Es decir, si tu banco no ha registrado a tiempo el alias que utiliza para enviar los códigos, sus clientes pueden quedarse sin recibirlos y acabar con las operaciones en curso bloqueadas. El sector bancario ha registrado durante los últimos meses la mayoría de sus alias para evitar esta situación, pero al mismo tiempo se confirmaba un atasco importante en el trámite, y a fecha de 10 de septiembre, la CNMC llevaba autorizados solo 13.565 alias sobre las miles de solicitudes recibidas.
Ante la imposibilidad material de validar todas antes de la fecha límite, el organismo aprobó ayer una circular publicada en el Boletín Oficial del Estado con una medida transitoria: los alias que estuvieran registrados antes de las tres de la tarde del propio 14 de septiembre podrán seguir enviando mensajes de forma provisional durante unos meses, mientras la CNMC completa la validación técnica. Esta prórroga condicionada evita el corte masivo de avisos legítimos que se preveía para hoy y da un margen adicional a las entidades que tramitaron su alias en plazo aunque el organismo no haya llegado a autorizarlo formalmente antes del 15.
Cómo saber si un mensaje es de tu banco
Para aquellos que reciben un SMS supuestamente de su banco, la verificación técnica del alias por parte del operador es solo la primera capa de seguridad. El propio Banco de España recuerda que un alias registrado mejora la trazabilidad del origen del mensaje pero no convierte al SMS en infalible. Los estafadores pueden usar canales alternativos, como pueden ser llamadas telefónicas simulando ser del banco, correos con enlaces falsos o mensajes de WhatsApp, para intentar hacerse con los datos de la víctima.
Por ello, para evitar caer en la trampa, conviene seguir teniendo en mente las mismas recomendaciones de seguridad incluso con el nuevo sistema de SMS:
- Ningún banco pide nunca las claves completas, contraseñas de un solo uso que llegan por SMS o los códigos CVV de las tarjetas, ni por llamada telefónica, ni por correo electrónico. Cualquier mensaje que pida estos datos es fraude, con independencia del nombre del remitente que aparezca.
- Nunca pulsar los enlaces que aparecen en los propios SMS del banco. La operación segura consiste en abrir la app oficial del banco desde el propio móvil o acceder a la web oficial escribiendo la dirección manualmente en el navegador.
- Sospechar de cualquier mensaje que presione al usuario a actuar de forma inmediata (ya sea bajo amenaza de bloqueo de cuenta, cargo desconocido en tarjeta, embargo fiscal, etc) son el patrón clásico del phishing y del smishing, técnicamente diseñado para provocar decisiones apresuradas del receptor.
Si a pesar de estas medidas de precaución, persiste la duda, lo más recomendable es llamar directamente al banco desde el número que aparece en el reverso de la tarjeta física o en la propia app oficial es la única verificación fiable.
