El número que ya no basta: por qué la identidad digital se volvió el nuevo perímetro de riesgo para la banca

En seis meses, México perdió 4.9 millones de líneas celulares. No por una crisis económica ni por un cambio de hábitos de consumo, sino por una obligación regulatoria: vincular cada número con una CURP. Mientras el país discute trámites y fechas límite, hay una pregunta que casi nadie está poniendo sobre la mesa en los comités de riesgo: si millones de números cambian de estatus de la noche a la mañana, ¿qué tan sólido es el sistema de autenticación que hoy protege las cuentas bancarias, los créditos digitales y las transferencias de millones de personas?

Lo que empezó como una medida de seguridad pública contra la extorsión telefónica se convirtió, sin que lo dijera ningún comunicado oficial, en uno de los eventos de gobernanza de datos e identidad digital más grandes que ha vivido el sistema financiero mexicano en años.

Qué está pasando realmente

Desde enero de 2026, la Comisión Reguladora de Telecomunicaciones (CRT) obliga a todos los usuarios de telefonía móvil en México, prepago y pospago, a vincular su línea con su CURP (o RFC, en el caso de empresas). El objetivo declarado es claro: eliminar el anonimato en las comunicaciones y reducir delitos como la extorsión, el fraude telefónico y el secuestro virtual.

El calendario de corte avanza por terminación numérica: las líneas que terminan en cero tienen hasta el 15 de agosto de 2026 para regularizarse, las que terminan en uno hasta el 31 de agosto, y así sucesivamente hasta cubrir los diez dígitos a lo largo del segundo semestre del año. Quien no complete el trámite pierde llamadas, SMS y datos móviles, aunque conserva el 911 y las alertas públicas, como los avisos sísmicos.

Detrás de ese calendario hay un movimiento de fondo mucho más relevante para cualquier líder de negocio: la consultora The CIU documentó que el número de líneas activas en el país bajó de aproximadamente 162 millones en diciembre de 2025 a 157.1 millones en junio de 2026, una caída de 4.9 millones de líneas en apenas medio año. Al mismo tiempo, los ingresos del sector durante el segundo trimestre de 2026 crecieron 5.3% y el ingreso promedio por usuario alcanzó su nivel más alto desde 2021. Es decir: menos líneas, pero de mayor calidad y mejor identificadas. Para las operadoras, el mensaje es que la depuración del padrón no está destruyendo el negocio, lo está concentrando.

El riesgo que nadie está midiendo: identidad y autenticación

Aquí es donde el tema deja de ser exclusivo de telecomunicaciones. Bancos, fintechs, aseguradoras y plataformas de comercio electrónico llevan más de una década usando el número de celular como uno de los factores centrales de autenticación: códigos de un solo uso (OTP), notificaciones push, recuperación de contraseña, validación de identidad en el onboarding digital. Todo ese ecosistema asume, implícita y silenciosamente, que un número de teléfono representa de forma estable a una persona.

La depuración masiva de líneas rompe esa suposición en dos sentidos. Primero, organizaciones como la Red en Defensa de los Derechos Digitales (R3D) advirtieron desde junio de 2026 que la obligatoriedad del registro con CURP podría, en la práctica, incrementar el robo de identidad y el robo de equipos móviles, precisamente porque un número vinculado a una identidad real se vuelve un objetivo más valioso para el crimen. Segundo, cada línea suspendida o reasignada introduce una ventana de tiempo en la que el vínculo "número-persona" que los sistemas de autenticación asumen como verdad absoluta deja de serlo.

Para un director de riesgo o de tecnología en el sector financiero, esto no es un escenario hipotético: es un cambio en la superficie de ataque de todo el sistema de autenticación basado en teléfono, ocurriendo en tiempo real y a escala nacional.

Aplicaciones prácticas para líderes de negocio

Repensar el número de teléfono como una señal, no como una identidad. Los modelos modernos de gestión de riesgo e identidad ya no deberían tratar el número celular como un factor suficiente por sí mismo. La combinación de análisis de comportamiento, biometría, huella de dispositivo y modelos de riesgo basados en inteligencia artificial permite evaluar en tiempo real si un intento de acceso es legítimo, incluso cuando el número asociado a una cuenta cambió de estatus recientemente.

Auditar bases de contacto antes de que fallen las campañas. Para las áreas de marketing y CRM, millones de números suspendidos o reasignados significan tasas de entrega de SMS y notificaciones que caerán sin explicación aparente si no se depuran las bases de datos con la misma velocidad con la que cambia el padrón oficial.

Convertir el registro CURP en un activo de KYC, no solo en un requisito de telecom. Las instituciones financieras que logren cruzar, con el debido resguardo legal, la validación del registro de línea con sus propios procesos de conocimiento del cliente (KYC) obtienen una señal adicional de verificación de identidad que antes no existía de forma estandarizada en el mercado mexicano.

Modelar el riesgo de forma dinámica, no estática. Los equipos de prevención de fraude tienen ahora una razón concreta para invertir en modelos de IA que reevalúen constantemente el nivel de confianza de un número telefónico, en lugar de tratarlo como un dato fijo capturado una sola vez en el alta del cliente.

Conclusión

El registro de líneas con CURP se diseñó como una medida de seguridad pública, pero su efecto colateral es un experimento de gobernanza de identidad a escala de todo un país. Para cualquier organización que use el teléfono como puerta de entrada a sus servicios (y en México eso incluye prácticamente a toda la banca, el comercio electrónico y buena parte del gobierno digital), la lección estratégica es la misma: la identidad no puede depender de un solo dato estático. Depende de la capacidad de cruzar señales, en tiempo real, con inteligencia artificial y buena gobernanza de datos detrás.

Las empresas que entiendan este movimiento como una oportunidad para fortalecer sus modelos de identidad y riesgo van a salir de 2026 con una ventaja de confianza. Las que lo ignoren, seguirán confiando su seguridad a un número que el propio regulador ya demostró que puede desaparecer de un día para otro.