El SMS que parece de tu banco puede vaciarte la cuenta

España tiene una ley para acabar con el smishing. Tiene un registro oficial, tiene un regulador (CNMC) gestionando el sistema y tenía una fecha: el 7 de junio de 2026. Fecha que fue aplazada tres meses más, hasta el 15 de septiembre, por la extraordinaria complejidad técnica del proceso.

Pero ya está con nosotros.

Mientras tanto, los estafadores no esperan. Solo en los primeros meses de 2026, más de 340.000 denuncias por fraude vía SMS se han registrado en España. Y mientras escribimos esto, hay campañas activas suplantando a la AEAT, a la DGT, a Correos y a prácticamente todos los bancos del país.

Este artículo explica qué hay detrás del Registro de alias de la CNMC, por qué el retraso importa más de lo que parece, qué nuevas amenazas han emergido en junio de 2026, y qué deben hacer ya ciudadanos y empresas para no quedar expuestos.

El problema que lleva décadas sin solución (cualquiera puede ser tu banco)

Cuando recibes un SMS del Santander o Correos, el nombre que ves no es un número verificado. Es un alias alfanumérico un Sender ID que el emisor elige libremente al contratar un servicio de mensajería masiva. Hasta hoy, nadie comprobaba si tenías derecho a usar ese nombre.

Esto es lo que hace posible el smishing en su forma más efectiva: el mensaje fraudulento no llega desde un número desconocido. Llega con el nombre de tu banco y tu móvil tanto iOS como Android lo agrupa automáticamente en el hilo de conversación con los mensajes legítimos que ya tienes guardados. Lo ves junto a tu historial real de alertas, confirmaciones de compra, avisos de seguridad.

El receptor ve el SMS falso dentro del historial real de su entidad. No hay número sospechoso. No hay remitente extraño. Solo el nombre de siempre, y un mensaje urgente al final del hilo.

Las cifras actualizadas: lo que muestran los datos de 2025–2026

El INCIBE certificó en su balance anual de 2025 que el fraude online creció un 19% respecto a 2024, con 45.445 casos registrados. El phishing bancario fue la modalidad más dañina, con 25.133 incidentes, representando el 34% de todos los incidentes en operadores esenciales por encima del transporte o la energía.

Fuente	Dato	Período
INCIBE Balance anual	45.445 casos de fraude online (+19% vs 2024)	2025
INCIBE Phishing bancario	25.133 incidentes · 34% del total en operadores esenciales	2025
Ministerio del Interior	430.493 estafas informáticas (+513,4% en 10 años)	2025
Policía Nacional	+40% denuncias por suplantación biométrica (voz IA)	Q1 2026
Ministerio del Interior	+340.000 denuncias por fraude vía SMS	Ene–may 2026
Juniper Research	Pérdidas globales SMS fraud: 71.000 M$ (vs 80.000 M$ en 2025)	2026

La solución regulatoria Orden TDF/149/2025 y Circular 1/2026

El 27 de marzo de 2026, el BOE publicó la Circular 1/2026 de la CNMC (BOE-A-2026-7043). Su objetivo es crear un Registro Nacional de Alias: una base de datos oficial donde deben inscribirse, con carácter previo a su uso, todos los identificadores alfanuméricos empleados como remitente en mensajes SMS, MMS o RCS enviados a números españoles.

La lógica es directa: si un alias no está inscrito, los operadores deben bloquearlo. Si el mensaje no proviene de un proveedor habilitado para ese alias, también se bloquea. Cierre de puerta frontal. El problema es que esa puerta iba a cerrarse el 7 de junio.

• 27 Marzo 2026: publicación circular 1/2026 (BOE), Marco legal en vigor
• Abril 2026: fase carga masiva proveedores A2P, Registro voluntario abierto
• Hoy – 14 Septiembre 2026: ventana de riesgo activa sin filtro, SMS falsos siguen llegando sin bloqueo
• 15 Septiembre 2026: bloqueo obligatorio entra en vigor, Alias no registrados bloqueados
• 31 Diciembre 2026: fin período de transición especial, Pleno régimen sancionador CNMC

Análisis técnico lo que el registro puede y no puede hacer

El Registro de alias es un avance real, pero no es una solución completa y los datos de junio de 2026 demuestran que los delincuentes ya han encontrado las rutas que quedan fuera de su alcance.

La industria criminal: PhaaS y la IA que elimina los errores

El smishing moderno opera como un negocio SaaS. Plataformas como Darcula de origen chino ofrecen más de 200 plantillas que suplantan marcas de todo el mundo y llegaron a comprometer cerca de 884.000 tarjetas bancarias en siete meses entre 2023 y 2024. En abril de 2025, Darcula incorporó IA generativa que crea formularios de phishing en cualquier idioma sin traducción humana.
El resultado los SMS fraudulentos de 2026 ya no tienen errores ortográficos. La web falsa tiene el logotipo correcto, los colores exactos de la marca y una URL con HTTPS. Además, en junio de 2026 ya se detectan campañas de spear smishing con el nombre real del destinatario o datos parciales de su vehículo, obtenidos de filtraciones masivas previas.

Si quieres ver cómo funciona esta técnica sobre un caso real, Pablo lo diseccionó paso a paso en este análisis del fraude del falso SMS de Binance.

HTTPS no garantiza legitimidad. Solo garantiza que la conexión está cifrada. Un sitio de phishing con certificado TLS válido es tan peligroso como uno sin él.

Campañas activas en junio 2026 detectadas por INCIBE

A día de hoy, el INCIBE tiene alertas activas sobre las siguientes campañas:

• AEAT / Hacienda: SMS informando de una comunicación pendiente con enlace a dominios .top o .click. Usan dominios .es registrados hace menos de 48 horas, que los filtros corporativos no bloquean por considerarlos de bajo riesgo. El INCIBE establece que los ataques basados en dominios .es se multiplicaron por 19 entre 2024 y 2025.
• DGT: SMS con el remitente Sede Electrónica DGT avisando de multas de entre 30 y 200 euros con plazo de 24 horas. Ya incluyen en algunos casos el nombre real del conductor o datos de la matrícula.

¿Quieres ver cómo funciona este timo paso a paso? analizamos en detalle el fraude de la multa DGT pendiente de pago.

• Banca: campañas activas suplantando a Santander, BBVA, CaixaBank, ING y Bankinter. El INCIBE ha documentado una variante sofisticada donde el SMS va seguido de una llamada de un «agente de seguridad» del banco que guía a la víctima hacia la web falsa.
• Correos: SMS con importe ridículo (1,99 € o 2,50 €) para «liberar un paquete». El bajo importe reduce la guardia de la víctima, pero la web de destino captura el número de tarjeta completo.

Vectores de ataque y cobertura del registro

Vector	Descripción técnica	¿Lo bloquea el registro?
Alias spoofing	SMS con alias suplantado	Sí, Sept. 2026
Alias registrado fraudulento	Empresa ficticia inscribe alias de marca legítima	No necesariamente
SMS numérico con enlace	Sin alias, desde número desconocido con URL maliciosa	No
Grey routes internacionales	SMS extranjero por rutas no acordadas con el operador	Parcialmente a partir de Sept. 2026
Vishing + voz IA	SMS falso + llamada inmediata con voz clonada por IA	Fuera del alcance del registro
Spear smishing con datos reales	SMS personalizados con nombre, matrícula o NIF de la víctima	El filtro no actúa sobre el contenido

La amenaza que el registro no puede detener: estafa híbrida con voz IA

NUEVA AMENAZA DOCUMENTADA POR INCIBE EN 2026: La estafa híbrida combina un SMS falso con una llamada inmediata con voz sintética generada por IA. El Registro de alias no tiene ningún efecto sobre este vector.

Esta es la evolución más peligrosa documentada en 2026. La secuencia completa puede ejecutarse en menos de diez minutos y funciona así:

1. El atacante envía un SMS falso que genera alarma: un cargo no autorizado, un bloqueo de cuenta, una alerta de seguridad.
2. Segundos después, llega una llamada. Al otro lado, una voz idéntica a la de un familiar o a la de un responsable del banco confirma el contenido del SMS y pide que se autorice una transferencia o se facilite un código OTP.
3. La víctima actúa antes de verificar. El dinero desaparece en minutos.

La clave tecnológica los atacantes solo necesitan tres segundos de audio tomados de un vídeo de Instagram, un audio de WhatsApp o una llamada grabada para clonar una voz con herramientas de IA accesibles y gratuitas. La IA analiza tono, timbre, cadencia y muletillas. El resultado ya funciona en tiempo real: el estafador teclea la respuesta y el sistema la vocaliza al instante con la voz clonada.
La Policía Nacional ha registrado un incremento del 40% en denuncias por suplantación biométrica solo en el primer trimestre de 2026. Los expertos prevén que estos ataques se multiplicarán durante la segunda mitad del año, impulsados por herramientas de IA cada vez más baratas y accesibles.

Desde el punto de vista legal, estas estafas no son un delito aislado. Concurren simultáneamente la estafa (art. 248 CP), la usurpación de identidad (art. 401 CP) y el descubrimiento y revelación de secretos (art. 197 CP). Cuando el importe defraudado supera los 50.000 euros, la pena puede alcanzar los seis años de prisión.

Indicadores técnicos a monitorizar (threat intelligence)

• Registro masivo de dominios con typosquatting de marcas bancarias y de paquetería, especialmente con extensiones .es (mayor confianza visual, filtros menos estrictos).
• Campañas de smishing con alias que replican exactamente los de BBVA, CaixaBank, Santander, AEAT, DHL o Correos antes de que el bloqueo entre en vigor en septiembre.
• Spear smishing SMS personalizados con nombre real de la víctima, número de tarjeta parcial o datos de vehículo. Señal de uso de bases de datos filtradas.
• Patrón SMS + llamada inmediata la combinación de un SMS de alarma seguido de llamada confirmatoria es el patrón de la estafa híbrida. Cualquier incidente con esta secuencia debe tratarse como de alta prioridad.
• Solicitudes de OTP no iniciadas por el usuario posible señal de Credential stuffing.

Para que lo entienda cualquiera el truco que convierte un SMS en una trampa perfecta

Hay un detalle que muy poca gente conoce y que lo cambia todo.

Cuando recibes un SMS fraudulento de Correos, tu móvil no lo trata como un mensaje de un desconocido. Lo mete directamente en el mismo hilo que los SMS reales de Correos que tienes guardados. Ves el aviso del paquete de marzo, el código de seguimiento de mayo… y al final, el mensaje del estafador. Parece una continuación natural. Eso es el SMS spoofing.

Las señales que siempre delatan el fraude

• El enlace no apunta al dominio oficial correos.es, dgt.gob.es, agenciatributaria.gob.es. Cualquier variación incluidos dominios .top, .click o incluso .es recién registrados es muy probable un fraude.
• La urgencia es el mensaje principal plazos de 24-48 horas, amenazas de embargo, avisos de bloqueo inminente.
• Te piden datos bancarios, contraseñas o códigos OTP. Ninguna entidad seria lo hace por SMS ni por teléfono.
• El pago es ridículo 1,99 €, 2,50 €. Es suficiente para capturar los datos de tu tarjeta.
• El SMS llega sin que lo esperaras no tienes paquete pendiente, no tienes multa conocida, no has iniciado ninguna gestión.
• El SMS va seguido de una llamada que confirma exactamente lo que decía el mensaje. Esa secuencia es la firma de la estafa híbrida.

Si no tienes claro la diferencia entre smishing, vishing y spear phishing, este análisis de Pablo te lo explica con ejemplos reales en cinco minutos 5 tipologías de phishing que deberías conocer.

¿Qué hacer según la situación?

Si recibes un SMS sospechoso:

• No pulses ningún enlace ni aunque el remitente sea el nombre de tu banco o de Hacienda.
• Entra directamente en la app oficial o escribe la URL tú mismo en el navegador.
• Reenvía el SMS a [email protected] o llama al 017.

Si recibes SMS + llamada inmediata con voz de alguien conocido:

• Corta la llamada sin facilitar ningún dato.
• Llama tú directamente al número guardado de esa persona o entidad para verificar.
• Establece con tu familia una contraseña verbal de emergencia que solo vosotros conozcáis.

Si ya has pulsado y has dado datos:

Ventana crítica: INCIBE estima que las credenciales robadas se procesan en menos de 2 horas. Actúa INMEDIATAMENTE.

• Llama ya a tu banco para bloquear la tarjeta o cuenta afectada.
• Cambia contraseñas de todos los servicios relacionados.
• Guarda capturas del SMS y la web fraudulenta antes de cerrar nada.
• Denuncia ante la Policía Nacional o la Guardia Civil.
• Llama al 017 (INCIBE) para orientación y para ayudar a prevenir que otros caigan.

Guía para empresas lo que debes hacer

Si tu empresa, clínica, academia, despacho o comercio utiliza SMS para comunicarse con clientes confirmaciones de cita, avisos de pedido, OTPs, recordatorios de pago la nueva regulación te afecta directamente. No actuar a tiempo implica dos riesgos: que tus mensajes queden bloqueados, y que tu marca sea suplantada durante la ventana de riesgo activa.

El riesgo reputacional que más empresas ignoran

Clínicas, academias, gimnasios, talleres, asesorías, alojamientos, restaurantes, comercios online: todos usáis alias comerciales. Muchos ni siquiera sabéis qué alias estáis usando lo gestiona vuestro software de citas, vuestra plataforma de pagos o vuestro proveedor de mensajería.

Durante estos meses, antes de que el bloqueo sea obligatorio, los estafadores pueden usar el nombre de tu marca para enviar mensajes fraudulentos a tus clientes. Un cliente que recibe un SMS de TuClínica pidiéndole datos bancarios y cae en la trampa te responsabilizará a ti, aunque seas la víctima.

La suplantación de tu alias no es solo un problema de ciberseguridad. Es un problema de reputación que puede erosionar la confianza de tus clientes en semanas.

El proceso de registro: tres pasos fundamentales

1. Inscripción del alias en la Sede Electrónica de la CNMC, con identificación del titular (razón social y NIF) y firma de declaración responsable de uso legítimo. Acceso con certificado digital o Cl@ve.
2. Vinculación a un Proveedor de Origen (PRO) habilitado, el proveedor de mensajería A2P que uses debe estar inscrito en el Registro como PRO. Sin este paso, los mensajes serán bloqueados aunque el alias esté registrado.
3. Tramitación individual o por carga masiva si se usan varios alias.

Checklist de cumplimiento actualizado

✓	Acción requerida	Urgencia
☐	Identificar todos los alias SMS en uso (incluyendo los que gestiona un proveedor externo)	Inmediata
☐	Contactar al proveedor A2P y confirmar estado de registro en CNMC	Inmediata
☐	Completar inscripción en Sede Electrónica CNMC (Cert. digital o Cl@ve)	Antes Jul 2026
☐	Vincular alias a Proveedor de Origen (PRO) habilitado por CNMC	Antes Jul 2026
☐	Revisar alias de marcas secundarias, subsidiarias y canales OTP	Antes Ago 2026
☐	Comunicar a clientes que NUNCA se pedirán datos por SMS	Recomendado ya
☐	Preparar canal alternativo de comunicación por si hay bloqueo transitorio	Recomendado
☐	Monitorizar si el alias de marca está siendo suplantado actualmente	Preventivo
☐	Formar al equipo en detección de estafa híbrida (SMS + llamada con voz IA)	Nuevo riesgo

Formación del equipo el vector interno que nadie contempla

La estafa híbrida (SMS + llamada con voz IA) tiene especial impacto en entornos empresariales. Un empleado de administración que recibe un SMS de alarma bancaria seguido de una llamada con la voz del director financiero pidiendo autorizar una transferencia urgente está ante el escenario de estafa.

La contramedida más efectiva no es tecnológica es un protocolo de verificación. Ninguna autorización de pago urgente debe tramitarse sin confirmación directa por un canal distinto al que llegó la solicitud y el equipo debe conocer la existencia de la estafa de voz clonada antes de sufrirla.

Conclusiones

El Registro de alias es la medida antifraude más importante que ha tomado España en materia de mensajería móvil. Cierra una brecha que lleva décadas abierta, y los datos de junio de 2026 demuestran que los actores maliciosos están aprovechando activamente ese margen.

Y más allá del Registro de alias, la irrupción de la estafa híbrida con voz clonada por IA dibuja un escenario donde el fraude por móvil va más allá del SMS. El canal telefónico, históricamente percibido como más fiable que el correo electrónico, se ha convertido en el nuevo frente.

Hasta septiembre desconfía de la urgencia, verifica siempre por canales oficiales, no facilites datos bancarios a partir de un SMS o una llamada no solicitada, y si escuchas una voz familiar pidiéndote dinero urgente, cuelga y llama tú. El mejor filtro sigues siendo tú.

Recursos y referencias

¿Has sido víctima de smishing o de una estafa por SMS? En CyberBrainers revisamos tu caso, te explicamos las opciones disponibles y, cuando es posible, te ayudamos a recuperar lo perdido. Solicita asesoramiento gratuito.

Para ciudadanos:

• 017 Línea de Ayuda en Ciberseguridad del INCIBE gratuita, todos los días del año.
• [email protected] Para reportar mensajes fraudulentos y contribuir a dar de baja campañas activas.
• www.incibe.es/ciudadania/avisos Alertas activas publicadas por el INCIBE en tiempo real.

Para empresas:

• sede.cnmc.gob.es Sede Electrónica CNMC gestión del Registro de alias .
• BOE-A-2026-7043 Texto íntegro de la Circular 1/2026 de la CNMC.
• Tu proveedor de mensajería A2P Primera línea de acción (confirma si está inscrito como PRO habilitado).

En CyberBrainers ayudamos a empresas y usuarios a prevenir, monitorizar y minimizar los daños de un ataque informático o una crisis reputacional. Si estás en esta situación, o si quieres evitar estarlo el día de mañana, escríbenos y te preparamos una serie de acciones para remediarlo.