Los mensajes SMS con remitente fraudulento debían ser historia desde el pasado 15 de septiembre. Ese día entró en vigor la orden del Ministerio para la Transformación Digital para que las operadoras bloqueen los SMS con remitentes alfanuméricos no registrados o que, estando registrados, no provienen del origen autorizado. Sin embargo, el _smishing_ , que es como se llama el fraude por SMS, sigue alcanzando a los consumidores como siempre, intentando suplantar a entidades como la DGT1 y la Seguridad Social2, que en los últimos días **han publicado sendas alertas** en sus redes para prevenir a los ciudadanos de que este tipo de fraude sigue activo. En el caso de la Seguridad Social, el mensaje utiliza el alias `TGSS`, el enlace lleva a una web falsa con la imagen del organismo público en el que, tras introducir el NIF, se pide un pago complementario para regularizar cuotas pendientes. El objetivo es hacerse con los datos de la tarjeta bancaria de la víctima. ## Proveedor de origen, tránsito y terminación Parte fundamental de este mecanismo de bloqueo es el registro de alias, una base de datos gestionada por la CNMC donde las empresas deben inscribir el texto que usan como remitente de sus mensajes junto con el **Proveedor Registrado de Origen** (PRO) que se ocupa de introducirlos en la red telefónica. Los mensajes enviados por los proveedores de origen circulan por las redes de los proveedores de tránsito para llegar finalmente a los de terminación (la operadora móvil del destinatario). Cada uno de estos grupos participantes en la difusión de los mensajes tiene la obligación de consultar el registro de alias para comprobar que el mensaje procede del origen autorizado para el alias que usa, con el fin de solo dejar progresar a los legítimos. Una excepción son los usuarios que están en España con una línea extranjera, que recibirán todos, aunque los que deberían haberse bloqueado verán el texto `NO VALIDADO` como remitente. La **CNMC ha hecho firmar** a cada uno de estos grupos participantes una declaración responsable de que disponen "de medios técnicos e infraestructura para cumplir adecuadamente con las obligaciones de bloqueo" y se responsabilizan de cualquier incumplimiento. Para controlar su actividad, la CNMC les obliga a mantener un **registro de mensajes bloqueados** en el que figura qué proveedor de origen intentó inyectar un mensaje sin corresponderle, por lo que podrá tomar medidas disciplinarias. Sin embargo, en foros y redes sociales se puede leer a clientes de Digi y Vodafone/Lowi asegurar que han recibido mensajes que debían haberse bloqueado, lo que indica que el filtrado todavía no está funcionando como debe. ## ¿Qué está fallando? Una posible explicación la encontramos en la medida que la CNMC adoptó a última hora ante la avalancha de solicitudes de alias los días previos al 15 de septiembre. El regulador aprobó de forma excepcional todas las solicitudes pendientes de golpe, sin comprobar la vinculación legítima del titular con el alias solicitado, lo que podría hacer que algunos titulares estén usando un alias que no les corresponde. Esta situación durará un máximo de 3 meses, cuando se espera que se hayan revisado la totalidad de solicitudes. Sin embargo, la explicación más probable es que algunas operadoras todavía no tienen en funcionamiento el sistema de filtrado o este funciona de forma deficiente, lo cual podría exponerlas a sanciones. La "medida de gracia" de la CNMC puede haber hecho que se relajen durante estas primeras semanas. En cualquier caso, para los usuarios es **difícil saber si el responsable es su operadora o el proveedor de tránsito** que se lo entregó. 1. Tuit DGT 2. Tuit TGSS 3. Orden del Ministerio 4. Circular de la CNMC