Bloqueo de SMS comerciales: así funciona la nueva obligación de la CNMC y cómo reclamar si te han estafado

Desde el 15 de septiembre de 2026, los operadores de telecomunicaciones están obligados a bloquear los SMS, MMS y RCS que utilicen un nombre comercial o marca como remitente (un «alias») si ese alias no está inscrito en el Registro de Alias de la CNMC, si no corresponde a la entidad que lo usa o si el mensaje llega a través de un proveedor de mensajería no habilitado para ese alias. La medida está recogida en el artículo 8 de la Orden TDF/149/2025, de 12 de febrero, y su objetivo es cortar de raíz el smishing: la suplantación de bancos, aseguradoras, empresas de transporte y administraciones públicas a través de mensajes de texto.

En este artículo te explicamos, en lenguaje claro, qué es el bloqueo de SMS comerciales, a quién afecta, qué ha cambiado en los últimos días y —lo más importante si ya eres víctima— qué puedes reclamar y cómo te podemos ayudar desde Bufete Prolegue.

Qué es el bloqueo de SMS comerciales y desde cuándo se aplica

El llamado «bloqueo de SMS» es una obligación legal impuesta a los operadores de comunicaciones electrónicas: cuando un mensaje llega a la red identificado con un remitente alfanumérico que no cumple los requisitos del Registro de Alias, el operador no puede entregarlo. El mensaje se descarta antes de llegar al teléfono del destinatario.

Hasta ahora, cualquiera podía enviar un SMS haciendo que en la pantalla del móvil apareciera «MiBanco», «Correos» o «AEAT». Esa flexibilidad técnica es precisamente lo que han explotado las redes de estafadores durante años: el mensaje fraudulento se colaba dentro del mismo hilo de conversación que los mensajes legítimos de la entidad, lo que lo hacía casi imposible de detectar para el usuario medio.

Con el nuevo sistema, solo se entregan los mensajes cuyo alias esté previamente inscrito y vinculado a una entidad legítima. Todo lo demás se bloquea.

Calendario normativo del bloqueo de SMS

Qué dice exactamente el artículo 8 de la Orden TDF/149/2025

La regla esencial cabe en tres ideas:

1. Inscripción previa obligatoria. Las empresas y administraciones que utilicen un alias —o los proveedores de mensajería que actúen en su nombre— deben inscribirlo en el Registro gestionado por la CNMC antes de usarlo.
2. Trazabilidad del canal. Junto al alias debe constar qué proveedores de servicios de mensajería están habilitados para transmitir mensajes con ese identificador. No basta con registrar el nombre: hay que registrar también por dónde viaja.
3. Bloqueo obligatorio. Los proveedores de redes y servicios implicados en la transmisión deben bloquear los mensajes con alias no inscritos, o inscritos pero recibidos de un proveedor no habilitado.

El artículo 7.2 completa el cerco por el flanco internacional: también se bloquean los mensajes que entran en España desde el extranjero con un alias español, o con un alias extranjero no inscrito, salvo supuestos de itinerancia internacional.

Los tres supuestos en los que un operador debe bloquear tu SMS

• El alias no está registrado en el Registro de Alias de la CNMC.
• El alias está registrado, pero no corresponde al titular que lo está utilizando.
• El mensaje llega a través de un proveedor de mensajería no habilitado en el Registro para ese alias concreto.

La novedad de última hora: la preinscripción transitoria de la Circular 3/2026

Aquí está el detalle que muchas empresas desconocen. En las semanas previas al 15 de septiembre, la CNMC recibió una avalancha de solicitudes de inscripción —solo en los dos primeros meses de vigencia del Registro se superaron las 75.000 solicitudes de alias— y un volumen muy alto de titulares que no respondieron a tiempo a las comunicaciones del organismo para autorizar sus propios alias.

Ante la imposibilidad material de resolver todas esas solicitudes antes de la fecha límite, el Pleno del Consejo de la CNMC aprobó la Circular 3/2026, de 8 de septiembre (BOE de 12 de septiembre de 2026), que añade una disposición transitoria cuarta a la Circular 1/2026 con un efecto muy concreto:

Los alias cuya inscripción se solicitó antes de las 15:00 horas (hora peninsular) del 14 de septiembre de 2026, que cumplan los requisitos de formato del anexo III y hayan aportado las declaraciones responsables de vinculación, quedan preinscritos y pueden seguir utilizándose hasta que la CNMC resuelva sobre su inscripción o denegación, con un plazo máximo de tres meses desde la comunicación del alias.

Tres consecuencias prácticas:

• No es una amnistía. La CNMC advierte expresamente que la preinscripción no dispensa de completar los trámites restantes ni exime de los requisitos exigibles. Si el titular no autoriza el alias en plazo, la habilitación provisional cae.
• Solo cubre a quien llegó a tiempo. Quien no presentó solicitud antes de ese corte horario está, desde el 15 de septiembre, con sus mensajes bloqueados.
• Los alias nuevos u olvidados siguen siendo inscribibles en cualquier momento posterior; simplemente no se podrán usar hasta que estén inscritos.

¿Qué es un alias y qué es el Registro de Alias de la CNMC?

Un alias es, según la definición legal del artículo 3.a) de la Orden, una cadena de caracteres alfanuméricos que se transmite en el campo destinado al identificador de la línea llamante y que informa de quién envía el mensaje, pero que no es un recurso público al que se pueda responder. Es el «MiBanco» o el «FARMACIA» que ves como remitente en lugar de un número de teléfono.

El Registro de Alias es la base de datos oficial, gestionada por la CNMC y regulada por la Circular 1/2026, de 18 de marzo, en la que se inscriben todos esos identificadores. Recoge el alias, su titular y los proveedores habilitados para transmitirlo, y solo se concede a quien acredite una vinculación legítima con la marca, la denominación social o el dominio de internet correspondiente. La inscripción se tramita en la sede electrónica de la CNMC, por el propio titular o por un representante autorizado con certificado digital válido en España.

La CNMC ha habilitado además un portal público de consulta en el que cualquier persona puede comprobar qué alias están inscritos y quién es su titular: consulta del Registro de Alias de la CNMC. Es la herramienta más rápida para verificar si el remitente de un mensaje sospechoso corresponde realmente a la empresa que dice ser.

A quién afecta el bloqueo de SMS: empresas, administraciones y proveedores

La obligación alcanza a cualquier entidad que envíe SMS, MMS o RCS a números españoles usando un alias como remitente. En la práctica:

• Banca, seguros y financiación: claves de un solo uso (OTP), avisos de operaciones, preavisos de deuda.
• Telecomunicaciones y utilities: facturación, avisos de corte, incidencias.
• Sanidad y administraciones públicas: recordatorios de citas médicas, notificaciones y citas administrativas.
• Logística y comercio: avisos de entrega, seguimiento de pedidos, promociones.
• Proveedores de mensajería y agregadores: deben estar registrados como proveedores de origen y vinculados a cada alias que cursen.

Si una entidad no registró su alias, no desaparece su capacidad de enviar mensajes: puede seguir comunicándose prescindiendo del alias, es decir, enviando desde numeración. Lo que pierde es el remitente con su marca, con el consiguiente impacto en reconocimiento, tasa de apertura y confianza.

¿Hay sanciones para las empresas?

La consecuencia directa del artículo 8 no es una multa, sino el bloqueo del mensaje. Distinto es el caso de la prohibición de usar numeración móvil para atención al cliente y llamadas comerciales no solicitadas del artículo 9, cuyo incumplimiento la propia Orden remite expresamente al régimen sancionador del artículo 107.19 de la Ley 11/2022, General de Telecomunicaciones. A ello pueden sumarse responsabilidades por vía de consumo o de protección de datos según el caso concreto.

Qué cambia para ti como usuario

Si eres particular, no tienes que hacer nada: el filtro lo aplican los operadores en la red. Lo que deberías notar con el tiempo es:

• Menos SMS fraudulentos que imiten el nombre de tu banco, de Correos, de la DGT o de Hacienda.
• Más fiabilidad del remitente: si en pantalla aparece el nombre de una empresa, hay detrás una inscripción con vinculación acreditada. Y si dudas, puedes comprobarlo tú mismo en el portal de consulta del Registro de Alias.
• Posibles falsos positivos en las primeras semanas: si has dejado de recibir avisos legítimos (una cita médica, un OTP), lo más probable es que el emisor tenga su alias pendiente de validación. Contacta con la entidad emisora.

Ojo: el bloqueo no es infalible. Los estafadores ya están migrando a WhatsApp, Telegram, RCS desde el extranjero, llamadas con voz clonada y enlaces por correo electrónico. La regla de oro sigue siendo la misma: ninguna entidad legítima te pedirá tus claves, ni tus códigos de firma, ni que muevas tu dinero a una «cuenta segura».

Te han estafado por SMS (smishing): qué puedes reclamar

Que la normativa entre en vigor ahora no borra lo anterior. Si has sufrido cargos, transferencias o compras no autorizadas después de haber recibido un SMS que suplantaba a tu banco, tienes derecho a reclamar la devolución del dinero, y la ley juega a tu favor más de lo que muchas entidades reconocen en primera instancia.

El marco aplicable es el Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago:

• Una operación de pago solo se considera autorizada si el ordenante ha dado su consentimiento. En el smishing, ese consentimiento está viciado por engaño.
• El artículo 45 establece una responsabilidad prácticamente objetiva de la entidad: ante una operación no autorizada debe devolver el importe de inmediato y, a más tardar, al final del día hábil siguiente a la notificación.
• La carga de la prueba recae en el banco, no en ti: es la entidad la que debe acreditar que la operación fue autorizada o que hubo fraude o negligencia grave por tu parte.
• La notificación a la entidad debe hacerse sin demora injustificada en cuanto detectes el cargo.

Los tribunales españoles vienen condenando a entidades bancarias a reintegrar cantidades sustraídas mediante SMS fraudulentos cuando el banco no logra probar esa negligencia grave, valorando además si sus propios sistemas antifraude detectaron y frenaron el patrón anómalo de operaciones.

Cómo actuar paso a paso

1. Bloquea y notifica de inmediato. Llama a tu entidad, bloquea tarjetas y accesos, y deja constancia por escrito de la notificación (fecha y hora).
2. Conserva las pruebas. Capturas del SMS con el remitente visible, el enlace recibido, el hilo completo de mensajes, los movimientos y cualquier comunicación con el banco. No borres nada.
3. Denuncia. Presenta denuncia ante Policía Nacional o Guardia Civil. Es un documento clave en la reclamación posterior.
4. Reclama al Servicio de Atención al Cliente de la entidad, por escrito y con acuse de recibo.
5. Escala al Banco de España si la respuesta es desfavorable o no llega en el plazo legal, mediante el Departamento de Conducta de Entidades.
6. Vía judicial. Si la entidad persiste en la negativa, la reclamación judicial civil es habitualmente la vía más eficaz para recuperar el importe íntegro más intereses y costas.

Preguntas frecuentes sobre el bloqueo de SMS

¿Desde cuándo se bloquean los SMS con alias no registrados?

Desde el 15 de septiembre de 2026. Esa es la fecha fijada por la disposición final tercera, apartado 3, de la Orden TDF/149/2025, tras la modificación introducida por la Orden TDF/558/2026, de 4 de junio, que aplazó la fecha inicial del 7 de junio de 2026.

¿Qué es un alias en un SMS?

Es el remitente alfanumérico que aparece en la pantalla del móvil en lugar de un número de teléfono, normalmente el nombre comercial o la marca de quien envía el mensaje. Legalmente no es un recurso público de numeración, por lo que no se puede responder a él.

¿Quién tiene que registrar el alias, la empresa o el proveedor de SMS?

El obligado es el titular del alias: la empresa o administración que lo utiliza. La solicitud puede presentarla el propio titular, un representante autorizado con certificado digital válido en España, o el proveedor registrado de origen actuando en su nombre. En todos los casos hay que acreditar la vinculación legítima con la marca, denominación social o dominio.

¿Cómo puedo comprobar si un alias está registrado en la CNMC?

La CNMC ha puesto a disposición del público un buscador gratuito en numeracionyoperadores.cnmc.es/alias, donde puedes consultar los alias inscritos y su titular. Si el remitente de un mensaje no aparece en el Registro, desconfía y no pulses ningún enlace.

He dejado de recibir los SMS de mi banco o de mi centro de salud, ¿por qué?

Lo más probable es que el alias del emisor no esté inscrito o esté pendiente de validación en el Registro de la CNMC. Puedes verificarlo en el portal de consulta del Registro de Alias. El bloqueo lo aplica el operador en la red, no tu teléfono, así que contacta con la entidad emisora para que compruebe el estado de su inscripción.

¿Puede una empresa seguir enviando SMS si no registró su alias?

Sí, pero sin alias: puede enviar desde numeración. Lo que no podrá hacer, desde el 15 de septiembre de 2026, es identificar sus mensajes con su marca o nombre comercial hasta que complete la inscripción.

¿El bloqueo elimina por completo las estafas por SMS?

No. Reduce de forma muy significativa la suplantación de remitentes en SMS, MMS y RCS dirigidos a números españoles, pero los estafadores siguen operando por otros canales: aplicaciones de mensajería, correo electrónico, llamadas y mensajes desde numeración. La prudencia sigue siendo imprescindible.

Si me estafaron antes del 15 de septiembre de 2026, ¿puedo reclamar igualmente?

Sí. La reclamación de operaciones de pago no autorizadas se basa en el Real Decreto-ley 19/2018, de servicios de pago, que está vigente desde 2018 y es independiente de la entrada en vigor del bloqueo de alias. El plazo para notificar las operaciones no autorizadas a la entidad es, como máximo, de trece meses desde la fecha del adeudo, si bien debes comunicarlo sin demora injustificada.

¿Tengo que asumir alguna cantidad si me han estafado?

Con carácter general, el usuario puede soportar una franquicia limitada en supuestos de instrumento de pago perdido o sustraído, pero no cuando no le resultaba posible detectar la situación antes del pago ni cuando la pérdida se debe a una acción u omisión del proveedor. Si el banco alega negligencia grave para no devolverte nada, es él quien debe probarla. Conviene revisar el caso concreto antes de aceptar cualquier respuesta negativa.