Table of Contents
A partir de este miércoles 2 de septiembre de 2026 entró en vigor una modificación a las reglas bancarias en México que permite utilizar mensajes de texto SMS para enviar códigos de autenticación en determinadas operaciones.
El cambio fue publicado el martes 1 de septiembre en el Diario Oficial de la Federación (DOF) mediante una resolución de la Comisión Nacional Bancaria y de Valores (CNBV). La disposición entra en vigor al día siguiente de su publicación, es decir, este miércoles.
Sin embargo, esto no significa que todos los clientes comenzarán a recibir obligatoriamente nuevos SMS ni que cualquier mensaje que aparente provenir de un banco sea legítimo.
¿Qué cambia desde el 2 de septiembre?
La modificación permite que las instituciones bancarias utilicen un número de teléfono móvil habilitado para recibir SMS como uno de los medios para proporcionar al cliente un denominado Factor de Autenticación Categoría 3.
Hasta antes de esta modificación, las disposiciones contemplaban para este procedimiento el correo electrónico o servicios de mensajería instantánea que utilizaran protocolos de comunicación cifrada.
La propia CNBV explicó en la resolución que la regulación no contemplaba el SMS como mecanismo para entregar este factor de autenticación, situación que ahora cambia.
¿En qué operaciones podrán enviarte códigos SMS?
Aquí existe una precisión importante: la modificación no establece de manera general que todas las operaciones realizadas desde cualquier aplicación bancaria utilizarán SMS.
Las reglas modificadas corresponden específicamente a operaciones efectuadas mediante los llamados comisionistas de base tecnológica.
Esta figura permite que instituciones de crédito celebren contratos con terceros que actúan a nombre y por cuenta del banco mediante sus propias aplicaciones o páginas de internet.
Entre las operaciones contempladas se encuentran la apertura de determinadas cuentas y transferencias asociadas, otorgamiento de créditos dentro de los límites establecidos, pago de bienes y servicios y consultas de saldos y movimientos.
¿Cómo funcionará el código enviado por SMS?
Cuando una operación requiera este mecanismo, el proceso deberá realizarse dentro de la infraestructura tecnológica de la institución bancaria.
Las disposiciones establecen que el cliente puede proporcionar como medio de contacto:
- Una dirección de correo electrónico.
- Un servicio de mensajería instantánea con protocolos de comunicación cifrada.
- Un número de teléfono móvil habilitado para recibir SMS.
El banco podrá enviar a ese medio de contacto el Factor de Autenticación Categoría 3, que posteriormente deberá ingresarse en los medios electrónicos de la institución para completar la autenticación.
Consultar saldo podría requerir menos pasos
La resolución también introduce una excepción para determinadas consultas.
Cuando el cliente únicamente quiera revisar saldos y movimientos de productos o servicios financieros contratados mediante estos comisionistas, las instituciones podrán solicitar únicamente el Factor de Autenticación Categoría 2 previamente definido.
Esto busca establecer un proceso diferenciado para operaciones consideradas de menor riesgo.
Cuidado: no cualquier SMS que diga ser de tu banco es verdadero
La entrada en vigor de estas reglas tampoco convierte automáticamente en confiable cualquier mensaje que llegue al celular.
Los delincuentes pueden utilizar técnicas de smishing, una modalidad de phishing mediante SMS, para intentar obtener contraseñas, códigos de seguridad y otros datos financieros.
Si recibes un código de autenticación que tú no solicitaste, no lo compartas ni lo ingreses en páginas a las que hayas llegado mediante enlaces sospechosos.
Un supuesto empleado del banco que te pida por llamada, mensaje o chat el código recibido debe ser considerado una señal de alerta.
No compartas los códigos de seguridad
La modificación establece que el Factor de Autenticación se entrega directamente mediante el medio de contacto previamente proporcionado por el cliente y posteriormente debe introducirse en la infraestructura tecnológica de la institución.
Por seguridad, los usuarios deben evitar entregar este tipo de información a terceros.
También conviene desconfiar de mensajes que generen urgencia con frases como “tu cuenta será bloqueada”, “detectamos una transferencia” o “confirma inmediatamente tus datos”, especialmente cuando incluyen enlaces desconocidos.
¿Por qué la CNBV modificó las reglas?
La CNBV relaciona el cambio con la expansión de los servicios financieros digitales y con la Política Nacional de Inclusión Financiera 2025-2030.
Según la resolución, uno de los objetivos es ampliar la cobertura y accesibilidad de los servicios financieros mediante canales digitales seguros y mecanismos de atención no presencial.
La regulación de los comisionistas de base tecnológica había sido incorporada desde julio de 2024. La actualización de septiembre de 2026 amplía las opciones disponibles para autenticar a los clientes que utilizan estos servicios.
¿Los bancos están obligados a enviarte SMS desde este miércoles?
No necesariamente.
La resolución establece la posibilidad de utilizar SMS como medio para entregar el Factor de Autenticación Categoría 3, pero también mantiene otras alternativas, como correo electrónico y determinados servicios de mensajería instantánea.
Por eso, el cambio más preciso para los usuarios es que desde el 2 de septiembre los bancos cuentan con la opción regulatoria de enviar estos códigos mediante SMS en las operaciones específicas contempladas, no que todos los bancos estén obligados a comenzar a mandar mensajes a todos sus clientes.
La recomendación permanece igual: si recibes un código relacionado con una operación que sí estás realizando, úsalo únicamente dentro del proceso oficial correspondiente. Si no solicitaste ninguna operación, no compartas el código y verifica directamente con tu institución financiera.
