MoncloaPolítica Española

España convive desde hace años con una plaga silenciosa que llega directamente al bolsillo: el SMS que parece de tu banco y que, en realidad, quiere vaciarte la cuenta. Cada mes, miles de personas reciben mensajes con el nombre de una entidad conocida como remitente, sin sospechar que detrás hay una estafa perfectamente calculada.

La buena noticia es que existe ya una solución técnica para cortar ese fraude de raíz. La menos buena es que tendrás que esperar unos meses más: el bloqueo automático de estos mensajes, que debía activarse en junio, se ha retrasado hasta el 15 de septiembre de 2026.

Qué cambia para España con el nuevo registro

La Comisión Nacional de los Mercados y la Competencia ha creado un Registro de Alias en el que toda empresa o administración que quiera enviar SMS bajo un nombre comercial —en lugar de un número de teléfono— deberá inscribirse previamente. Sin ese registro, el operador de telefonía tendrá la obligación de bloquear el mensaje antes de que llegue a tu móvil.

Hasta ahora, cualquiera podía escribir «BBVA», «Correos» o «DGT» como remitente sin que existiera ningún filtro que lo verificara. Esa puerta abierta es la que ha permitido que el smishing —la variante del phishing que llega por mensaje de texto— se convierta en una de las técnicas de fraude más rentables para los ciberdelincuentes en el país.

Por qué se ha retrasado la medida hasta septiembre

España que iba a estrenar este filtro el 7 de junio finalmente tendrá que esperar. La CNMC explicó que el proceso de carga masiva de alias resultó de una «extraordinaria complejidad técnica y operativa», con miles de empresas intentando registrar sus identificadores a la vez. Un despliegue precipitado, según el propio Ministerio, podría haber bloqueado por error mensajes legítimos de bancos, hospitales o administraciones.

Durante el mes de carga masiva habilitado entre marzo y abril, la CNMC recibió cerca de 70.000 solicitudes de alias, una cifra que desbordó los plazos previstos inicialmente. Por eso, el Ministerio para la Transformación Digital prefirió ganar tiempo antes que arriesgarse a interrumpir comunicaciones importantes para los ciudadanos.

Cómo funciona el smishing que esta medida busca frenar

El truco es tan sencillo como efectivo: el estafador manipula el identificador del remitente para que su mensaje aparezca en el mismo hilo donde ya tienes los SMS reales de tu banco. Ver un aviso fraudulento junto a tus alertas legítimas desactiva cualquier sospecha, incluso en quienes se consideran precavidos.

A partir de ahí, el mensaje suele incluir un enlace a una web idéntica a la de la entidad suplantada, donde la víctima introduce sus credenciales pensando que está resolviendo una incidencia. Los datos llegan al criminal en tiempo real, y el robo puede completarse en cuestión de minutos, sin que el usuario llegue a darse cuenta de lo ocurrido.

Qué pasará exactamente a partir del 15 de septiembre

Cuando la medida entre en vigor, cualquier SMS, MMS o RCS enviado con un alias no inscrito será bloqueado automáticamente por el operador, sin que el usuario tenga que instalar ninguna app ni activar ningún filtro manual. El cambio será invisible para quien cumpla la ley, y contundente para quien intente saltársela.

Esto es lo que necesitas saber sobre el nuevo sistema:

El registro también afecta a empresas extranjeras

Cualquier mensaje enviado desde fuera de España hacia un número español deberá cumplir la misma norma, con la única excepción de los usuarios que se encuentren en itinerancia (roaming) en otro país.

Habrá un portal público de consulta

La CNMC pondrá en marcha una web donde cualquier ciudadano podrá comprobar quién es el titular de cada alias registrado, lo que añade una capa extra de transparencia frente a posibles suplantaciones.

• Los alias deberán tener entre 3 y 11 caracteres, sin símbolos ni acentos.
• No se admitirán nombres genéricos como «Banco» o «Urgente».
• Cada alias debe vincularse a una marca, denominación social o dominio acreditado.
• El proveedor de mensajería también deberá estar habilitado ante la CNMC.

Lo que puedes esperar a partir de ahora

El panorama, con todo, invita a un optimismo moderado. Aunque el smishing seguirá mutando —los expertos ya avisan de que algunos estafadores empezarán a usar números sueltos en lugar de alias—, cerrar esta vía concreta reduce de forma notable el margen de maniobra de las redes criminales que suplantan marcas conocidas.

Mientras llega septiembre, la recomendación de los organismos de ciberseguridad sigue siendo la misma de siempre: desconfía de cualquier SMS que exija prisa, verifica los enlaces antes de pulsarlos y, ante la duda, entra directamente a la app oficial de tu banco en lugar de seguir el mensaje. Esa costumbre, simple y gratuita, seguirá siendo tu mejor defensa incluso cuando el nuevo registro esté a pleno rendimiento.

La justicia europea ha puesto fin a casi una década de recursos. El Tribunal de Justicia de la Unión Europea (TJUE) ha desestimado la apelación final de Google contra la sanción de 4.100 millones de euros que la Comisión le impuso en 2018 por prácticas anticompetitivas alrededor de Android. La decisión, inapelable, convierte esta multa en la mayor sanción antimonopolio jamás confirmada en la Unión.

El fallo, emitido el 1 de julio, ratifica que Google abusó de su posición de dominio al imponer a los fabricantes de dispositivos móviles la preinstalación de su buscador y el navegador Chrome como aplicaciones predeterminadas en los terminales Android vendidos en Europa. La práctica, vigente hasta 2019, estranguló la competencia en los mercados de búsqueda en línea y navegadores, donde la compañía ya controlaba más del 80% del tráfico en numerosos Estados miembros.

Claves de la operación

• La sanción de 4.100 millones agota todas las vías de recurso. El TJUE cierra definitivamente el caso, confirmando la decisión adoptada por el Tribunal General en 2022, que ya había rebajado ligeramente la multa original de 4.340 millones de euros.
• Los contratos con los fabricantes de Android fueron el centro de la infracción. Google condicionaba la licencia de la Play Store a la instalación obligatoria de su buscador y navegador, lo que, en la práctica, excluyó a cualquier rival durante años.
• Bruselas mantiene la presión con el nuevo Reglamento de Mercados Digitales (DMA). La Comisión ya investiga a Google por presunto favoritismo hacia sus propios servicios y por obstaculizar las alternativas de pago ajenas a la Play Store, lo que deja claro que el pulso regulatorio no ha terminado.

La resolución del tribunal de Luxemburgo subraya que «los acuerdos de preinstalación constituían una restricción de la competencia por su propia naturaleza» y que el importe de la multa es proporcional a la duración y gravedad de la conducta. Google, que ya ha tenido que modificar su modelo de negocio desde 2019, no ha emitido comentarios inmediatos sobre la decisión.

Durante el procedimiento, la defensa de Alphabet sostuvo que los contratos con los fabricantes no eran anticompetitivos porque Android es un sistema abierto y los usuarios podían cambiar las aplicaciones por defecto. El tribunal ha rechazado ese argumento, señalando que el simple hecho de ser la opción predeterminada otorga una ventaja masiva difícil de contrarrestar.

Este varapalo judicial no es el único que Google ha encajado en Bruselas. En 2017, la Comisión ya le impuso una sanción de 2.400 millones de euros por favorecer su servicio de compras en los resultados de búsqueda; la compañía perdió la apelación definitiva en 2024 y acabó pagando. La acumulación de fallos consolida una doctrina comunitaria cada vez más hostil hacia los gigantes tecnológicos.

Una década de batalla judicial que termina sin recurso

El caso comenzó en 2016, cuando la Comisión abrió una investigación formal sobre las prácticas de Google en Android. Dos años después, la multa récord de 4.340 millones de euro –la mayor de la historia– fue impuesta junto con la orden de poner fin a las conductas en un plazo de 90 días. La tecnológica recurrió ante el Tribunal General, que en 2022 rebajó ligeramente el importe a 4.125 millones, y ahora el TJUE ha ratificado esa cifra de forma definitiva.

La sentencia refuerza la línea jurisprudencial iniciada con el el caso de Google Shopping y abre la puerta a que la Comisión endurezca aún más sus exigencias bajo el DMA, que entró en vigor en 2023. De hecho, el fallo menciona expresamente que la conducta sancionada «privó a los competidores de la oportunidad de innovar y de atraer usuarios en un mercado que Google ya dominaba sin necesidad de tales acuerdos».

Lo que la multa significa para el mercado digital europeo

Más allá del importe –que apenas representa un trimestre de beneficios de Alphabet–, el verdadero golpe está en el precedente. La sentencia deja claro que la Unión Europea no tolerará estrategias de cierre de ecosistema diseñadas para perpetuar posiciones dominantes. La decisión llega en un momento en que Bruselas intensifica el escrutinio sobre el funcionamiento de las tiendas de aplicaciones y los sistemas de pago integrados, dos frentes donde Google ya está siendo investigada.

En España, la CNMC ha seguido de cerca estos procedimientos. Aunque no ha abierto expedientes equivalentes por el momento, sí se ha pronunciado en varios informes sobre los riesgos de concentración en los mercados digitales y la necesidad de herramientas de control más ágiles. La multa a Google es, en ese sentido, una referencia ineludible para cualquier regulador nacional.

La sanción no es por tener un tamaño dominante, sino por usar ese tamaño para impedir que otros compitan en igualdad de condiciones.

Google ya adaptó su modelo en Europa tras la primera resolución de 2018: ofreció a los usuarios una pantalla de elección de buscador y permitió que los fabricantes preinstalaran aplicaciones rivales. Sin embargo, las investigaciones abiertas bajo el DMA revelan que la Comisión considera insuficientes esos cambios y podría imponer nuevas obligaciones en los próximos meses.

La batalla legal puede haber terminado, pero el frente regulatorio sigue abierto. Y esta vez, la Comisión cuenta con un instrumento –el DMA– que le permite imponer multas de hasta el 10% de la facturación global y, en caso de reincidencia, incluso la obligación de separar negocios. Para Google, el coste reputacional y la incertidumbre regulatoria pueden pesar más que los 4.100 millones de euros.