México comenzó 2026 con un cambio importante para millones de usuarios de telefonía móvil: cada línea debe quedar vinculada con la identidad de una persona física o moral.

La intención detrás de la medida es clara: reducir el anonimato de las líneas utilizadas para cometer delitos como extorsión y fraude. Sin embargo, el proceso ha estado acompañado de dudas sobre privacidad, dificultades operativas, cambios en los plazos y un debate que México, en realidad, ya había vivido antes.

¿Qué cambió en 2026?

Desde el 9 de enero comenzó la implementación del nuevo esquema de identificación de líneas telefónicas móviles.

Para las personas físicas, la vinculación implica acreditar la identidad mediante documentación oficial y CURP; para personas morales, se utiliza el RFC. Los extranjeros cuentan con mecanismos específicos de identificación.

El proceso puede realizarse de manera presencial o remota, dependiendo del proveedor.

Un punto importante en materia de privacidad es que los lineamientos establecen que las plataformas de los operadores no deben almacenar datos biométricos, fotografías ni copias de la identificación oficial.

Sí deben conservar información relacionada con la identidad y la línea, como:

• Nombre.
• CURP o RFC.
• Número telefónico.
• Tipo de identificación.
• Datos asociados al proceso de validación.

Es decir, no estamos hablando simplemente de registrar un número: estamos creando una relación verificable entre una identidad y una línea móvil.

El primer problema: millones de líneas seguían sin vincularse

Originalmente, el proceso contemplaba una fecha límite general para avanzar con la vinculación. Pero el ritmo de registro obligó a modificar la estrategia.

Para finales de junio se habían vinculado alrededor de 63 millones de líneas, frente a un universo superior a los 160 millones de líneas móviles activas en México.

La autoridad terminó estableciendo un calendario escalonado para las líneas pendientes, de acuerdo con el último dígito del número telefónico.

Las nuevas fechas límite quedaron así:

• Terminación 0: 15 de agosto
• Terminación 1: 31 de agosto
• Terminación 2: 15 de septiembre
• Terminación 3: 30 de septiembre
• Terminación 4: 15 de octubre
• Terminación 5: 31 de octubre
• Terminación 6: 15 de noviembre
• Terminación 7: 30 de noviembre
• Terminación 8: 15 de diciembre
• Terminación 9: 31 de diciembre

Esto significa que, al momento de publicar este artículo, el proceso de vinculación sigue en marcha.

Una línea que llegue a su fecha límite sin estar vinculada podrá ser deshabilitada dentro de las siguientes 72 horas. Mientras permanezca en ese estado, sus servicios serán restringidos hasta completar el procedimiento.

Las fallas también forman parte de la regulación

Uno de los puntos que más llama la atención es que los propios lineamientos contemplan qué debe ocurrir cuando las plataformas de gestión presentan fallas.

La regulación establece mecanismos para registrar incidencias y ventanas de mantenimiento, mientras que la Comisión Reguladora de Telecomunicaciones ha habilitado canales para que los usuarios reporten problemas durante el proceso.

Y esto importa porque la vinculación remota no es un simple formulario.

Hay procesos de validación de identidad y prueba de vida que buscan evitar que alguien pueda tomar datos personales ajenos y registrar una línea a nombre de otra persona.

Precisamente por ello, los procedimientos han tenido que ajustarse durante la implementación.

En junio, la Comisión Reguladora de Telecomunicaciones modificó los lineamientos para robustecer distintos elementos de vinculación, desvinculación y consulta, además de incorporar cambios relacionados con la prueba de vida y nuevos mecanismos de identificación.

La regulación sigue evolucionando mientras se ejecuta.

¿Por qué existe tanta preocupación alrededor de los datos?

Porque vincular una identidad con un número telefónico genera información especialmente atractiva para un atacante.

Una base que permita relacionar nombre, CURP y número móvil puede convertirse en un objetivo relevante para campañas de phishing, ingeniería social, suplantación de identidad y otros tipos de fraude si la información no se protege adecuadamente.

Esto no significa que el sistema actual vaya a sufrir necesariamente una filtración.

Significa que su existencia exige controles de seguridad acordes con el riesgo.

Los lineamientos actuales intentan reducir parte de esa exposición al prohibir que las plataformas almacenen fotografías, copias de identificaciones o datos biométricos utilizados durante la validación.

Pero la discusión sobre seguridad no termina ahí.

También importa:

• Cómo se protege la información que sí permanece almacenada.
• Quién puede acceder a ella.
• Cómo se autentican esos accesos.
• Qué ocurre frente a un incidente.
• Qué mecanismos existen para detectar comportamientos anómalos.
• Qué tan rápido puede responderse ante un acceso indebido.

México ya intentó registrar celulares antes

Parte de la polémica actual tiene una explicación histórica.

México ya experimentó con mecanismos para asociar líneas móviles con sus usuarios.

El antiguo Registro Nacional de Usuarios de Telefonía Móvil (RENAUT), creado en 2009, buscaba combatir delitos como el secuestro y la extorsión mediante el registro de líneas utilizando la CURP. El sistema terminó siendo eliminado.

Años después apareció el Padrón Nacional de Usuarios de Telefonía Móvil (PANAUT), que incluía requerimientos todavía más sensibles, entre ellos datos biométricos.

En 2022, la Suprema Corte de Justicia de la Nación invalidó ese esquema.

Por eso el debate actual no ocurre en el vacío.

México llega a 2026 con antecedentes que inevitablemente elevan las preguntas sobre privacidad, proporcionalidad y protección de información personal.

El dilema: seguridad pública vs. seguridad de la información

La lógica de identificar al titular de una línea parece sencilla: si un número participa en una actividad delictiva, existe una identidad asociada que puede ser requerida por las autoridades competentes.

Pero desde una perspectiva de ciberseguridad aparece una pregunta más compleja:

¿Cómo utilizamos más información para combatir el delito sin convertir esa misma información en un nuevo activo de alto valor para los ciberdelincuentes?

Ese es probablemente el verdadero reto del registro.

No basta con recopilar datos correctamente. Hay que proteger todo su ciclo de vida.

Eso implica:

• Controles de acceso.
• Trazabilidad.
• Cifrado.
• Monitoreo.
• Gestión de incidentes.
• Minimización de información.
• Procesos seguros de autenticación.
• Responsabilidades claramente definidas entre autoridades y proveedores.

Lo que sigue

Durante los próximos meses continuarán venciendo las fechas del calendario escalonado, por lo que será posible evaluar con mayor claridad el impacto operativo del sistema.

La discusión tampoco debería limitarse a cuántas líneas fueron registradas.

Para evaluar el éxito de una política de este tipo habrá que responder preguntas mucho más importantes:

• ¿Disminuyó realmente el uso de líneas móviles para extorsiones y fraudes?
• ¿Los procesos de identificación lograron evitar la suplantación?
• ¿Los proveedores protegieron adecuadamente la información?
• ¿Se registraron incidentes o accesos indebidos?
• ¿El beneficio obtenido justifica la cantidad de información asociada a cada usuario?

Porque identificar una línea puede ayudar a combatir determinados delitos.

Pero en ciberseguridad, recopilar más información también significa asumir la responsabilidad de protegerla.