La Resolución CRC 8308 introduce nuevas reglas para el tráfico de mensajería empresarial A2P, utilizado habitualmente por entidades financieras para enviar códigos de autenticación, confirmaciones de operaciones y alertas de seguridad.
 

Uno de los principales cambios es la creación de Sender ID, un identificador alfanumérico que permitirá reconocer al originador de los mensajes. La regulación incorpora además un sistema de validación centralizada para verificar los agentes, marcas y plantillas de contenido que participan del ecosistema.
 

Los proveedores deberán realizar procesos de Know Your Customer (KYC) sobre las empresas que utilizan estos canales, incluyendo verificación de identidad, beneficiario final y perfil de riesgo. Las plantillas utilizadas para los SMS también deberán ser previamente aprobadas, incluyendo cuando corresponda las URL o dominios autorizados.
 

El cambio resulta particularmente relevante para bancos y fintech porque buena parte de estas comunicaciones no se envían directamente desde sus propias infraestructuras, sino mediante agregadores y otros proveedores tecnológicos. La regulación obliga así a mejorar la trazabilidad de toda la cadena utilizada para llegar al cliente.

La CRC también estableció medidas sobre las llamadas telefónicas. Entre ellas se encuentra la prohibición de enmascarar la identidad de la línea llamante, el bloqueo de determinadas llamadas internacionales que simulen originarse desde numeración colombiana y mecanismos de monitoreo para detectar patrones asociados con robocalls y otras actividades sospechosas.
 

Las medidas buscan reducir principalmente el smishing y el vishing, técnicas en las que los atacantes se hacen pasar por bancos u otras organizaciones para obtener credenciales, códigos de autenticación o inducir al usuario a realizar una operación.
 

La dimensión del canal explica la relevancia de la iniciativa. Según la CRC, el 98,6% del tráfico SMS en Colombia corresponde actualmente a mensajes enviados por empresas e instituciones.
 

Para la industria financiera, la regulación amplía el perímetro de la prevención del fraude. La seguridad deja de depender únicamente de los controles aplicados dentro del banco, la billetera o el proceso de pago y alcanza también la infraestructura de telecomunicaciones utilizada para entregar OTP, alertas y confirmaciones a los clientes.