El 27 de marzo de 2026, el Boletín Oficial del Estado publicó la Circular 1/2026, de 18 de marzo, de la Comisión Nacional de los Mercados y la Competencia, por la que se regula el Registro de Alias (BOE-A-2026-7043). El acuerdo fue adoptado por el Pleno del Consejo de la CNMC en su sesión del 18 de marzo, entró en vigor al día siguiente de su publicación —esto es, el 28 de marzo— y fija en el 7 de junio de 2026 la fecha en que las obligaciones de bloqueo resultan plenamente exigibles. En veintiún páginas del BOE, la CNMC concreta el funcionamiento de una base de datos en la que deberán inscribirse, con carácter previo a su utilización, todos los identificadores alfanuméricos empleados como remitente en mensajes SMS, MMS o RCS enviados a números españoles.

Para entender el alcance de la Circular, hay que partir de su norma habilitante: la Orden TDF/149/2025, de 12 de febrero, del Ministerio para la Transformación Digital y de la Función Pública, publicada en el BOE el 15 de febrero de 2025. Esa orden ministerial surgió como respuesta al incremento de fraudes cometidos mediante técnicas de suplantación de identidad en llamadas y mensajes, y estructuró su respuesta en torno a tres ejes: la identificación obligatoria de la numeración en los servicios de atención al cliente (capítulo II), las medidas contra la suplantación en mensajería comercial (capítulo III) y la garantía de identificación en llamadas comerciales no solicitadas (capítulo IV). El capítulo III es el que interesa aquí: sus artículos 7 y 8 establecen la obligación de inscripción previa de los alias en un Registro gestionado por la CNMC y la consiguiente obligación de los operadores de bloquear los mensajes que no cumplan ese requisito. La Circular 1/2026 es el desarrollo procedimental de esa arquitectura.

La habilitación competencial de la CNMC para dictar una disposición con ese contenido descansa en dos cimientos distintos. El primero es la Ley 3/2013, de 4 de junio, de creación de la CNMC, cuyo artículo 30 permite a este organismo dictar circulares de desarrollo y ejecución cuando las normas habilitantes así lo prevean expresamente. El segundo es la Ley 11/2022, de 28 de junio, General de Telecomunicaciones, cuyo artículo 100.2.z) atribuye a la CNMC las funciones que le asigne expresamente la normativa sectorial. La Orden TDF/149/2025 activó ambos mecanismos al encomendar expresamente a la CNMC la gestión del Registro (art. 8.1) y la potestad de dictar instrucciones sobre sujetos obligados, procedimiento y plazos (art. 8.4). La Circular fue sometida a audiencia de los sectores afectados antes de su aprobación, y el propio preámbulo la vincula al principio de buena regulación del artículo 129 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común.

El problema que la norma quiere resolver: smishing como vector de fraude masivo

El smishing —término que funde SMS y phishing— es la variante del fraude por suplantación de identidad que opera a través de mensajes de texto. Su lógica es estructuralmente simple: el delincuente configura un mensaje para que el campo de identificación del remitente muestre el nombre de una entidad legítima —un banco, la Agencia Tributaria, Correos, la DGT— en lugar de un número de teléfono. El destinatario recibe el mensaje en el mismo hilo de conversación en que recibía, meses atrás, los SMS auténticos de esa entidad, lo que elimina el principal mecanismo cognitivo de detección del fraude: la desconfianza hacia un número desconocido.

Las cifras en España son elocuentes. El Instituto Nacional de Ciberseguridad (INCIBE) gestionó en 2025 un total de 122.223 incidentes de ciberseguridad, un 26% más que el año anterior, y el smishing fue el vector de entrada en una fracción relevante de esos casos. Los datos del Europol Internet Organised Crime Threat Assessment correspondientes a 2023 ya señalaban el smishing como la modalidad más frecuente de phishing dentro de la Unión Europea, y en España las estafas de este tipo sumaron 14.261 casos en ese mismo año, el 17% de todos los problemas de ciberseguridad registrados por el INCIBE. En el primer trimestre de 2024 se contabilizaron 110.268 infracciones por estafas informáticas en territorio nacional, con un incremento interanual del 14,3%.

El smishing funciona mejor que otras modalidades de fraude porque los usuarios confían en el SMS de una manera en que ya no confían en el correo electrónico. El email lleva décadas siendo objeto de campañas de concienciación; el mensaje de texto sigue percibido como un canal más directo y fiable. Esa percepción es, precisamente, el activo que explotan los atacantes. El mecanismo técnico que lo hace posible —la libertad total para configurar el campo del remitente alfanumérico sin ninguna verificación previa— llevaba años identificado como una vulnerabilidad sistémica del ecosistema de mensajería comercial, sin que hasta ahora existiera en España un marco regulatorio que lo cerrara de forma obligatoria.

La arquitectura del Registro: estructura, sujetos obligados y cadena de proveedores

La Circular 1/2026 construye el Registro de Alias como una base de datos gestionada íntegramente por la CNMC. Su principio rector es la inscripción previa: ningún identificador alfanumérico puede utilizarse como remitente en mensajes dirigidos a números españoles hasta el día siguiente a su inscripción efectiva. A partir del 7 de junio de 2026, los operadores que transmitan mensajes con alias no inscritos tienen obligación de bloquearlos; lo mismo ocurre con los mensajes que, aun estando inscritos, sean transmitidos por proveedores no habilitados en el Registro para ese alias concreto.

El ámbito subjetivo de aplicación es amplio. Están obligadas a inscribir sus alias tanto las empresas como las administraciones públicas que los utilicen, ya sea directamente o a través de un proveedor que actúe en su nombre. Merece atención el tratamiento que la norma dispensa a las empresas extranjeras: aquellas que por su actividad comercial necesiten enviar mensajes SMS, MMS o RCS con alias a clientes con número de teléfono español deberán igualmente registrarlos, según lo dispuesto en el artículo duodécimo de la Circular. La extraterritorialidad efectiva del Registro es, por tanto, universal respecto del tráfico entrante, sin perjuicio de las particularidades previstas para la itinerancia internacional.

La Circular diseña una estructura de roles diferenciados dentro de la cadena de transmisión del mensaje. El proveedor de origen (PRO) es quien, habilitado por el titular del alias, origina el envío; el proveedor de tránsito es quien recibe y reenvía mensajes entre otros proveedores; el proveedor de terminación —función reservada en exclusiva a los operadores móviles— es quien entrega finalmente el mensaje al destinatario. Cada rol conlleva obligaciones de bloqueo específicas. El PRO debe verificar que el alias esté inscrito y que corresponda al titular antes de transmitir. El operador de terminación, en su posición de último filtro antes de la entrega, tiene la obligación de bloquear cualquier mensaje que llegue desde un proveedor no registrado o con un alias no reconocido, con la única excepción de los mensajes destinados a usuarios en itinerancia internacional.

La arquitectura cierra el espacio de maniobra en tres capas. Un alias no registrado no llega al destinatario: el operador de terminación lo bloquea. Un alias registrado por quien no es su titular tampoco es válido, porque la inscripción exige acreditar vínculo real con la denominación. Y aunque el alias esté correctamente inscrito, solo puede transmitirse a través de los proveedores expresamente habilitados para ese alias en el Registro: cualquier ruta alternativa queda cortada.

El procedimiento de inscripción: requisitos de vinculación legítima y plazos

El artículo cuarto de la Circular regula el procedimiento de inscripción a través del formulario web habilitado en la sede electrónica de la CNMC. El acceso requiere certificado digital válido en la plataforma @firma del SECTOR PÚBLICO, lo que en la práctica excluye cualquier solicitud anónima o no verificada. Para cada alias, el solicitante debe indicar el alias concreto, el tipo de vinculación con su titular, la denominación social y NIF del titular, el domicilio social y los datos identificativos de sus representantes legales.

El requisito que da sustancia al sistema es la exigencia de acreditar vinculación legítima entre el alias y su titular. El artículo quinto —cuyo contenido se concreta en el anexo correspondiente de la Circular— admite como formas de acreditación el registro de marca en la Oficina Española de Patentes y Marcas (OEPM) o en la Oficina de Propiedad Intelectual de la Unión Europea (EUIPO), la inscripción en el Registro Mercantil, la titularidad de un dominio de internet relacionado con la denominación, u otros criterios de vinculación análogos. No basta, pues, con afirmar que se usa el nombre de la propia empresa: hay que documentarlo. La CNMC puede rechazar solicitudes que generen confusión, faciliten el fraude o resulten ofensivas, según las condiciones de formato previstas en el anexo III.

Cuando el solicitante actúa en nombre del titular —por ejemplo, un proveedor de mensajería registrando alias en representación de sus clientes— la inscripción queda en estado «pendiente de autorización» hasta que el propio titular la aprueba expresamente, con un plazo máximo de diez días hábiles. Si el titular no se pronuncia en ese plazo, la solicitud se entiende no efectuada. El plazo ordinario de resolución por la CNMC es de un mes desde la presentación o desde la autorización del titular, si es posterior. Durante los primeros seis meses desde la entrada en vigor de la Circular —período transitorio—, ese plazo se amplía hasta tres meses, el general de la Ley 39/2015. Con posterioridad a ese período, rige el mes ordinario.

La Circular contempla también el ciclo de vida completo del alias: modificación de datos, suspensión, reactivación y cancelación. La CNMC puede acordar la suspensión o cancelación de un alias mediante resolución motivada cuando aprecie uso indebido o concurran circunstancias excepcionales ligadas al interés general, la protección del mercado o los derechos de terceros. Una vez cancelado, el alias queda inhabilitado para su reutilización durante seis meses, con las excepciones expresamente previstas. Esta restricción temporal apunta a evitar que alias previamente utilizados para fraudes puedan ser recuperados inmediatamente por terceros, bien como mecanismo de blanqueo, bien como táctica de acoso reputacional.

El encaje en el marco europeo: la Recomendación CEPT y la ausencia de un reglamento UE específico

España no actúa en el vacío cuando construye este Registro. El 16 de octubre de 2025, la Conferencia Europea de Administraciones de Correos y Telecomunicaciones (CEPT) adoptó la Recomendación ECC/REC/(25)04, titulada «Measures to handle alphanumeric SMS Sender IDs», que establece un conjunto de directrices para la gestión segura de los identificadores alfanuméricos en los servicios de mensajería. La Recomendación CEPT propone, precisamente, la creación de registros nacionales gestionados por autoridades competentes, la validación previa de los alias antes de su activación y la obligación de los operadores de bloquear mensajes con alias no registrados. La Circular 1/2026 es la transposición directa de ese esquema al ordenamiento español.

Sin embargo, la Recomendación CEPT no es vinculante. Es soft law en su expresión más pura: proporciona un marco de referencia técnico y de política regulatoria, pero no impone obligaciones directas ni establece sanciones. La CNMC la invoca en el preámbulo de la Circular como contexto y alineamiento de objetivos, no como norma habilitante. Eso explica también la ausencia de un instrumento comunitario equivalente: a diferencia de lo que ocurre en otros ámbitos —el Reglamento de IA (2024/1689/UE), el Reglamento de Servicios Digitales (2022/2065/UE), el RGPD— no existe a fecha de hoy un reglamento europeo de aplicación directa que regule específicamente el smishing o los registros de alias de mensajería. La Directiva del Código Europeo de las Comunicaciones Electrónicas (2018/1972/UE), incorporada al ordenamiento español mediante la Ley 11/2022, proporciona la base sectorial de telecomunicaciones, pero no desciende a ese nivel de detalle operativo.

La consecuencia es directa: el Registro de Alias es una solución nacional para un problema transfronterizo por definición. Las rutas internacionales de mensajería —el tráfico A2P originado desde operadores y agregadores extranjeros— representan una porción significativa del vector de ataque del smishing. La propia Orden TDF/149/2025 reconoce esta tensión al prever en su artículo 7.2 el bloqueo de mensajes con alias españoles recibidos desde el extranjero por interfaces internacionales de interconexión, salvo en caso de itinerancia. El régimen de itinerancia actúa como válvula de escape técnica imprescindible, pero también como zona gris regulatoria: el usuario español que viaja fuera de España y recibe mensajes desde redes extranjeras seguirá expuesto a suplantaciones que el Registro no puede filtrar desde el lado de la terminación nacional.

El modelo español frente al modelo británico: registro centralizado versus KYC distribuido

La comparación con el Reino Unido arroja una tensión regulatoria que ilumina bien las opciones de diseño disponibles. En octubre de 2025, Ofcom —el regulador de telecomunicaciones británico— publicó su consulta sobre nuevas reglas para combatir las estafas mediante mensajería móvil. Los datos que Ofcom manejaba no eran tranquilizadores: el 50% de los usuarios móviles del Reino Unido declaró haber recibido un mensaje sospechoso entre noviembre de 2024 y febrero de 2025, y los operadores recibieron en conjunto más de 100 millones de informes de mensajes fraudulentos en el año hasta abril de 2025.

Lo significativo es lo que Ofcom descartó. El regulador consideró explícitamente la posibilidad de implantar un registro centralizado obligatorio de identificadores alfanuméricos —análogo al que España está construyendo— y la rechazó. El motivo declarado: la carga que ese modelo impondría a las empresas y a los agregadores sería desproporcionada dado el volumen de registro y mantenimiento necesarios. En su lugar, Ofcom optó por obligaciones de diligencia debida (Know Your Customer) distribuidas a lo largo de la cadena de proveedores, con verificación cruzada de los sender IDs contra la información conocida sobre cada empresa remitente.

La diferencia de diseño tiene consecuencias reales. El modelo español es centralizado y preventivo en sentido estricto: el alias no llega al destinatario si no existe inscripción previa. La consecuencia es que el Registro funciona como filtro ex ante, lo que maximiza la protección teórica pero también el coste de compliance para los operadores y titulares. El modelo británico es distribuido y basado en due diligence: impone verificaciones, pero no bloquea por defecto; la responsabilidad del bloqueo recae en los criterios de juicio de cada proveedor. Es menos determinista, pero más flexible ante la diversidad del ecosistema global de mensajería A2P.

El Mobile Ecosystem Forum (MEF), que gestiona en el Reino Unido el Sender ID Registry de base voluntaria e industrial, ofrece un tercer modelo —privado y sectorial— que convive con las reglas de Ofcom. Este ecosistema superpuesto de registros —el regulatorio de Ofcom, el de industria del MEF— ilustra que no hay una solución técnicamente neutra: cada modelo distribuye de forma diferente los costes de cumplimiento, los riesgos de error de tipo I (bloqueo de mensajes legítimos) y tipo II (paso de mensajes fraudulentos), y la responsabilidad de supervisión.

Implicaciones de protección de datos: el Registro como tratamiento

La Circular 1/2026 no tiene vocación de ser un instrumento de protección de datos, pero crea un tratamiento. El formulario de inscripción recoge, entre otros datos, el nombre y apellidos, NIF o número de pasaporte, teléfono móvil y correo electrónico del representante legal del titular del alias. Se trata de datos personales en el sentido del artículo 4.1 del Reglamento General de Protección de Datos (RGPD), y la CNMC actúa como responsable del tratamiento en los términos del artículo 4.7. La base de legitimación no suscita dudas en este caso: el artículo 6.1.c) del RGPD ampara el tratamiento necesario para el cumplimiento de una obligación legal, que es exactamente lo que la Orden TDF/149/2025 y la Circular imponen.

Más delicada es la cuestión del portal público de consulta que la CNMC ha anunciado para el Registro. La Circular prevé que los ciudadanos puedan verificar qué alias están registrados y quién es su titular. La publicidad del nombre del titular —generalmente una persona jurídica— plantea escasos problemas desde la perspectiva del RGPD. Pero la publicidad del NIF del titular y los datos de sus representantes legales exige una gestión más cuidadosa: la sede electrónica de la CNMC deberá distinguir entre los datos accesibles en el portal público y los datos reservados a los proveedores de mensajería para el cumplimiento de las obligaciones de bloqueo.

La Circular también impone a los proveedores la obligación de guardar en sus sistemas el histórico diario de mensajes bloqueados, con información sobre su procedencia, y de remitir estadísticas anuales a la CNMC. Este flujo de datos operacionales —no exactamente datos de contenido, pero sí datos de tráfico con granularidad suficiente para inferir patrones comerciales— implica que las obligaciones de retención de registros de la Circular deben coordinarse con las normas del artículo 25 LGTel en materia de conservación de datos de tráfico, así como con las exigencias del RGPD en materia de minimización y proporcionalidad.

Obligaciones de compliance: lo que cambia para empresas, administraciones y proveedores de mensajería

Para las empresas que utilizan el canal SMS o RCS para comunicarse con clientes en España —marketing, OTPs, notificaciones de entrega, alertas bancarias— el cambio operativo es claro: a partir del 7 de junio de 2026, cualquier mensaje enviado con un alias no registrado será bloqueado antes de llegar al destinatario. La fecha no admite ambigüedad, y el período de adaptación disponible es el que resta desde la publicación de la Circular. Las empresas que dependen intensamente de este canal tienen que completar tres pasos antes de esa fecha: identificar todos los alias en uso, acreditar su vinculación legítima con la documentación exigida (certificados OEPM/EUIPO, escrituras del Registro Mercantil, titularidad de dominio), y asegurarse de que el proveedor o proveedores de mensajería contratados figuren como PRO habilitados en el Registro para cada uno de esos alias.

Las administraciones públicas están igualmente sujetas a la obligación, sin excepción. Agencias tributarias autonómicas, organismos de la Seguridad Social, municipios con sistemas de notificación por SMS, servicios de emergencias: todos ellos deberán registrar sus alias antes del 7 de junio. En muchos casos, el alias que utilizan es un nombre de servicio público reconocible —»AEAT», «TRÁFICO», «CORREOS»— cuya acreditación de vinculación no presentará dificultad. Pero el procedimiento formal de registro sigue siendo obligatorio, y la ausencia de inscripción producirá el bloqueo automático del mensaje con independencia de la legitimidad objetiva del remitente.

Para los proveedores de mensajería —agregadores, OMR, OMVC—, las implicaciones son de mayor alcance técnico. La Circular exige que adapten sus sistemas para conectarse diariamente con la base de datos de la CNMC, verificar en cada transmisión que el alias figura inscrito y que el propio proveedor está habilitado para ese alias, y guardar el histórico de bloqueos. Las cargas masivas de alias —el mecanismo por el que los PRO pueden inscribir en bloque todos los alias que tienen en uso para sus clientes titulares— estuvieron disponibles durante el primer mes desde la entrada en vigor de la Circular, es decir, aproximadamente hasta finales de abril de 2026. Los proveedores que no aprovecharon ese período tendrán que tramitar las inscripciones alias a alias en el formulario ordinario.

Una cuestión práctica que la Circular no resuelve del todo de forma explícita es qué ocurre con los alias genéricos que comparten estructura con marcas legítimas pero que no son registrables individualmente por un solo titular —»BANCO», «VERIFICACION», «ALERTA»—. El artículo quinto y el anexo III atribuyen a la CNMC la potestad de rechazar solicitudes que generen confusión o faciliten el fraude. Pero el criterio de confusión es inherentemente relacional: depende del contexto del sector, de la experiencia del destinatario y de la existencia de marcas previas. Cabe anticipar que esta será una de las primeras fuentes de litigiosidad administrativa, especialmente en sectores como la banca, donde distintas entidades han usado históricamente alias similares para comunicaciones de seguridad.

Régimen sancionador y supervisión: la garantía de efectividad

La Circular 1/2026 no configura un régimen sancionador propio: esa función recae sobre la Ley 11/2022 y, más arriba en la cadena normativa, sobre el sistema general de infracciones y sanciones del sector de las telecomunicaciones. El incumplimiento de las obligaciones de bloqueo por parte de los operadores y proveedores constituirá una infracción de las obligaciones impuestas por normativa sectorial, con las consecuencias establecidas en el título IX de la LGTel. La CNMC, en su condición de autoridad reguladora nacional, tiene competencia plena para iniciar procedimientos sancionadores por ese incumplimiento.

El mecanismo de supervisión articulado en la Circular es, además de reactivo, estructuralmente prospectivo. La obligación de los PR de remitir estadísticas anuales sobre alias en uso y mensajes bloqueados —con el primer informe referido al período 7 de junio-31 de diciembre de 2026, a presentar antes del 1 de febrero de 2027— proporciona a la CNMC un instrumento de monitorización continua sobre el efectivo funcionamiento del sistema. Esa información, agregada, permitirá detectar patrones de evasión —alias que se registran y cancelan a alta velocidad, concentración de bloqueos en determinados operadores internacionales— y afinar la normativa de desarrollo conforme el sistema madure.

Una lectura prospectiva: las preguntas que el Registro no responde todavía

La Circular 1/2026 cierra una vulnerabilidad técnica concreta: la ausencia de verificación de la identidad del remitente en el campo alfanumérico del SMS. Lo hace con un instrumento regulatorio claro, plazos definidos y una cadena de responsabilidades articulada. Pero la efectividad del Registro depende de factores que la norma no puede controlar plenamente.

El primero es el tráfico transfronterizo. Los defraudadores que operan desde infraestructuras radicadas fuera de España pueden reconfigurar sus rutas para eludir el filtro en terminación. La Circular prevé el bloqueo de mensajes con alias españoles recibidos desde el extranjero, pero la frontera entre mensajería legítima transfronteriza y mensajería fraudulenta no siempre es técnicamente distinguible de forma automática. Esta tensión no tiene solución normativa unilateral: requiere cooperación entre reguladores europeos, y ahí la Recomendación CEPT juega un papel de armonización cuya efectividad depende del ritmo al que los demás estados miembros adopten medidas equivalentes.

El segundo es la evolución tecnológica del canal de mensajería. La Circular abarca explícitamente los SMS, MMS y RCS. El RCS —Rich Communication Services— es el sucesor tecnológico del SMS tradicional y progresivamente va ganando penetración en los dispositivos Android, con una lógica de autenticación de remitentes que va más allá del simple alias alfanumérico. Si el RCS se consolida como canal dominante con sus propios mecanismos de verificación de identidad empresarial, el Registro de Alias quedará cubriendo principalmente tráfico SMS heredado. La cobertura de los tres protocolos en la norma es una precaución razonable, pero la arquitectura de verificación en RCS es estructuralmente diferente a la del SMS, y eso generará fricciones de aplicación en cuanto el canal gane masa crítica.

El tercero es el que más debería interesar a quienes trabajan en política regulatoria: si el Registro puede sentar precedente para canales adyacentes. La vulnerabilidad que explota el smishing —la posibilidad de configurar libremente el campo del remitente sin verificación previa— existe también en el correo electrónico corporativo y en las comunicaciones a través de plataformas OTT como WhatsApp o Telegram. Ninguna norma vigente va en esa dirección. Pero la estructura del Registro —titularidad acreditada, proveedores habilitados, bloqueo por defecto— es lo suficientemente modular como para que, en algún momento, alguien lo intente.