A partir de hoy, 15 de septiembre, los mensajes de spam y engañosos que se hacen pasar por compañías reales lo tienen mucho más difícil para estafarnos, gracias a un conjunto de nuevas normas impuestas por la CNMC (Comisión Nacional de los Mercados y la Competencia).
Y es que hoy entra en vigor el llamado "Registro de Alias", que será gestionado directamente por la CNMC con el objetivo de acabar con tácticas de fraude como el llamado 'smishing' y proteger a los usuarios.
Esta regulación obliga a los operadores de telefonía a validar todos los mensajes SMS o MMS antes de entregarlos a los móviles de los usuarios, y a bloquear aquellos que no tengan un alias registrado con Competencia.
El proceso implica que, a partir de ahora, todas las compañías y autónomos que envíen mensajes usando un alias en vez de un número de teléfono real tienen que registrar ese nombre para que nadie más lo pueda usar.
Los mensajes enviados con un alias se distinguen de los convencionales porque no aparecen como enviados por un número de teléfono, sino que se muestra el nombre de la organización o persona que supuestamente la envía.
Sin embargo, esta tecnología ha sido aprovechada para ataques por ciberdelincuentes que modifican sus mensajes para incluir el alias para hacerse pasar por una compañía u organización de confianza del usuario.
Un ejemplo muy común son los supuestos SMS del banco que solicitan información como el número PIN de la tarjeta, el número de cuenta bancaria u otros datos; esto es algo que ningún banco va a hacer nunca, pero muchos usuarios no lo saben o son engañados por el mensaje por la amenaza de perder su dinero o un ingreso importante.
Estos ataques de 'smishing' se han convertido en una de las mayores amenazas sufridas por los españoles, y aunque ya hay tecnologías contra el spam integradas en sistemas como Android que bloquean esos mensajes automáticamente, ahora se añade una capa más de seguridad.
A partir de ahora, los nombres usados como remitente en los mensajes tienen que ser registrados con la CNMC, sí o sí; en otras palabras, si recibimos un mensaje de una compañía, ahora tenemos una mayor seguridad de que es realmente quien dice ser.
Un detalle importante es que los mensajes enviados con números de teléfono tradicionales no tienen que seguir la nueva normativa; esto permite a los usuarios distinguir fácilmente entre mensajes de spam y 'smishing' y los mensajes reales de las compañías, ya que aparecerán como enviados por un número de teléfono normal y corriente.
Si un atacante intenta modificar el remitente incluyendo un nombre, cualquiera que sea, la operadora automáticamente lo bloqueará si no lo encuentra como el número registrado en la CNMC como el oficial para ese nombre.
La medida ha requerido cambios importantes en la manera en la que las operadoras redirigen los mensajes a los teléfonos móviles de los usuarios, y de hecho, eso requirió una prórroga en la entrada en vigor de la normativa el pasado mes de junio para finalizar los procesos entre las entidades y las operadoras.
Para evitar la interrupción de servicios legítimos, como por ejemplo, los códigos de verificación que envían muchos servicios para corroborar la identidad del usuario cuando entran en una página web o app, se ha habilitado un periodo de transición.
Como resultado, las solicitudes tramitadas antes del 14 de septiembre tienen un margen de 3 meses durante los cuales las compañías pueden seguir enviando mensajes sin estar registradas en la CNMC, pero a partir de entonces, esos mensajes serán bloqueados.