Propuestas › Ciberseguridad e identidad digital
CIB-06 Ley contra la suplantación de identificadores telefónicos y mensajes fraudulentos
Obliga a los operadores a autenticar el número de origen de las llamadas en forma escalonada según la tecnología de sus redes, crea el Registro de Remitentes de Mensajes a cargo del OSIPTEL, una lista de numeración protegida y un canal gratuito de reporte con bloqueo verificado y vía de desbloqueo, y tipifica las infracciones de los operadores; complementa la Ley 32323 sobre comunicaciones comerciales.
La ley en un vistazo
Lo que cambia
- 🔗 complementaLey 32323 / Ley 29571, Código de Protección y Defensa del Consumidorart. 58
- 🔗 complementaLey 27336, Ley de Desarrollo de las Funciones y Facultades del OSIPTELrégimen sancionador
- 🔗 complementaTUO de la Ley de Telecomunicaciones (D.S. 013-93-TCC) y Reglamento General (D.S. 020-2007-MTC)Plan Técnico Fundamental de Numeración
- 🔗 complementaLey 29733, Ley de Protección de Datos Personaleslímites del tratamiento (art. 8 de la ley)
Prevenir la suplantación de identificadores telefónicos y los mensajes fraudulentos mediante autenticación escalonada, registro de remitentes, numeración protegida y bloqueo coordinado con garantías.
Dictamina: Diputados · Ciencia, Innovación Tecnológica y Sociedad DigitalRevisión: Senado · En asuntos de Salud, Educación, Cultura, Mujer y Desarrollo Social y DigitalQuién hace qué
MTC
Ministerio de Transportes y Comunicaciones · Transportes y Comunicaciones
Refrenda el reglamento y adecúa el Plan Técnico Fundamental de Numeración (art. 7.3; DCF Primera).
OSIPTEL
Organismo Supervisor de Inversión Privada en Telecomunicaciones · PCM
Administra el Registro de Remitentes (art. 5), el canal de reporte (art. 6) y la numeración protegida (art. 7); fija medidas para tramos no IP y el cronograma de migración (art. 3); supervisa y sanciona (art. 9).
Operadoras
Empresas operadoras de telecomunicaciones · Privado
Autentican el origen, bloquean llamadas y mensajes conforme a los arts. 3 a 7.
MP / PNP
Ministerio Público y Policía Nacional del Perú · Justicia / Interior
Reciben reportes verificados para investigación (art. 6.3).
Registrantes
Entidades financieras y entidades públicas · Varios
Registran y actualizan su numeración protegida y responden por registros indebidos (art. 7.2).
Usuarios de telefonía móvil y fija de todo el país, en especial adultos mayores; bancos y entidades públicas suplantados. No se cuantifica por falta de cifra oficial de fraude telefónico.
Empresas operadoras de servicios públicos de telefonía fija y móvil y de mensajería de texto. La inscripción de remitentes es voluntaria.
Ruta de implementación
- 📝Se presentaCámara de Diputados
- 🏛️Dictamencomisión, hasta 60 días hábiles
- 🗳️Pleno Diputadosaprobación
- ⚖️Senado revisacomisión, hasta 90 días hábiles
- ✍️PromulgaciónPoder Ejecutivo
- 📜Reglamentoplazo de ley
- 🎯Meta 2031A 2029, autenticación de identificador implementada por todos los operadores móviles; registro de remitentes operativo y
Lo que cuesta
Quién paga: Presupuesto institucional del OSIPTEL (aporte por regulación) y del MTC, sin demandar recursos adicionales al Tesoro Público.
Costo para privados: Implementación de autenticación en tramos IP, filtrado de mensajes y gestión de listas de bloqueo por las operadoras; costo de registro nulo para remitentes.
Lo que se gana
🏛️ Para el Estado: Menor uso fraudulento de la numeración de entidades públicas; insumos para la investigación penal. No cuantificable con información pública.
👥 Para la sociedad: Reducción del fraude por suplantación telefónica y por mensajes; mayor confianza en las comunicaciones de bancos y entidades. No cuantificable con información pública.
📈 Inversión privada: Inversión de los operadores en plataformas de firma y verificación de llamadas y en filtrado de SMS; no cuantificable con información pública.
Exposición de motivos — el problema
La Ley 32323 (2025) modificó el artículo 58 del Código de Protección y Defensa del Consumidor para prohibir las comunicaciones comerciales no consentidas y encargó normas para identificar llamadas comerciales con numeración especial (CMS Grau). Esa norma enfrenta el spam de empresas formales, pero no la suplantación de identidad telefónica usada por delincuentes: llamadas que muestran números falsos o similares a los de bancos y entidades públicas, y mensajes de texto con remitentes que imitan marcas para robar credenciales. Estas modalidades alimentan el fraude informático y la suplantación de identidad, que, según información del Ministerio Público difundida por El Peruano (2-9-2026), concentran más del 92 % de las denuncias por delitos informáticos entre enero y julio de 2026. El Perú no exige legalmente la autenticación del identificador de llamada ni un registro de remitentes alfanuméricos, medidas que Estados Unidos (STIR/SHAKEN) y Singapur (SMS Sender ID Registry) han implementado. Tampoco existe un canal ciudadano único para reportar números fraudulentos que alimente bloqueos coordinados, con garantías frente a bloqueos indebidos.
Objeto
Prevenir la suplantación de identificadores telefónicos y los mensajes fraudulentos mediante autenticación escalonada, registro de remitentes, numeración protegida y bloqueo coordinado con garantías.
Fórmula legal
EL CONGRESO DE LA REPÚBLICA
Ha dado la Ley siguiente:
LEY CONTRA LA SUPLANTACIÓN DE IDENTIFICADORES TELEFÓNICOS Y MENSAJES FRAUDULENTOS
Artículo 1. Objeto
La presente ley tiene por objeto prevenir la suplantación de identificadores de llamada y de remitentes de mensajes de texto con fines fraudulentos, mediante obligaciones de autenticación, registro y bloqueo a cargo de las empresas operadoras de servicios públicos de telecomunicaciones.
Artículo 2. Definiciones
Para efectos de la presente ley:
a) Identificador de llamada: número que se presenta al usuario de destino como origen de una llamada.
b) Autenticación del número de origen: procedimiento técnico que permite verificar que quien origina la llamada está autorizado a usar el identificador presentado.
c) Remitente alfanumérico: identificador compuesto por letras, o letras y números, que se presenta como origen de un mensaje de texto.
d) Numeración protegida: números registrados por su titular como no utilizados para llamadas salientes.
Artículo 3. Autenticación del identificador de llamada
3.1. Las empresas operadoras implementan, en los tramos de protocolo de internet de sus redes e interconexiones, mecanismos de autenticación criptográfica del número de origen conforme a estándares internacionales.
3.2. En los tramos que no utilizan protocolo de internet, aplican las medidas de verificación alternativas que determine el Organismo Supervisor de Inversión Privada en Telecomunicaciones (OSIPTEL).
3.3. El OSIPTEL aprueba un cronograma de migración de las interconexiones a protocolo de internet.
3.4. Las empresas operadoras no presentan al usuario como identificador un número no verificado sin advertencia.
Artículo 4. Llamadas internacionales con numeración nacional
Las empresas operadoras bloquean o marcan como sospechosas las llamadas de origen internacional que presenten numeración nacional, salvo los casos de itinerancia, de llamadas originadas por usuarios del propio operador a través de servicios de voz sobre redes de datos y de numeración asignada a centros de contacto que el operador nacional haya validado y registrado ante el OSIPTEL.
Artículo 5. Registro de Remitentes de Mensajes
5.1. Se crea el Registro de Remitentes de Mensajes, a cargo del OSIPTEL.
5.2. La inscripción es voluntaria y gratuita para los remitentes. El OSIPTEL verifica que el solicitante sea titular o esté autorizado a usar la denominación del remitente y rechaza los identificadores confundibles con los de entidades financieras o públicas.
5.3. Las empresas operadoras solo cursan como verificados los mensajes con remitentes alfanuméricos inscritos; los no inscritos se bloquean o se etiquetan como no verificados, conforme a lo que disponga el OSIPTEL.
Artículo 6. Canal de reporte ciudadano y bloqueo verificado
6.1. El OSIPTEL habilita un canal gratuito, accesible por mensaje de texto, web y aplicación, para que los usuarios reporten números y mensajes presuntamente fraudulentos.
6.2. El bloqueo requiere la verificación técnica de patrones de tráfico o una pluralidad de reportes independientes, conforme a criterios publicados por el OSIPTEL. El titular del número bloqueado es notificado y puede solicitar el desbloqueo, que se resuelve en un plazo máximo de dos días hábiles.
6.3. Los reportes verificados se comparten con las empresas operadoras para su bloqueo y con el Ministerio Público y la Policía Nacional del Perú para fines de investigación.
Artículo 7. Lista de numeración protegida
7.1. Las entidades financieras y las entidades públicas pueden registrar ante el OSIPTEL los números que no utilizan para llamadas salientes; las empresas operadoras bloquean, en un plazo máximo de cuarenta y ocho horas desde cada actualización, las llamadas que presenten dichos números como identificador.
7.2. Las entidades registrantes mantienen actualizada la lista y responden por los efectos de registrar números que sí utilizan para llamadas salientes.
7.3. El Ministerio de Transportes y Comunicaciones adecúa el Plan Técnico Fundamental de Numeración para la implementación de la presente ley.
Artículo 8. Protección de datos y secreto de las comunicaciones
El tratamiento de datos derivado de la presente ley se sujeta a la Ley 29733, Ley de Protección de Datos Personales, se limita a la finalidad de prevención del fraude, se basa exclusivamente en datos de señalización y no habilita el acceso, la interceptación ni el análisis del contenido de las comunicaciones.
Artículo 9. Infracciones y sanciones
9.1. Constituye infracción grave de las empresas operadoras el incumplimiento de los artículos 3, 4, 5.3, 6.2 en lo que les corresponda y 7.1. Su reiteración dentro de un año constituye infracción muy grave.
9.2. El OSIPTEL supervisa y sanciona conforme a la escala de sanciones de la Ley 27336, Ley de Desarrollo de las Funciones y Facultades del OSIPTEL, y, conforme al numeral 4 del artículo 248 del Texto Único Ordenado de la Ley 27444, aprobado por el Decreto Supremo 006-2026-JUS, especifica las conductas en su Reglamento General de Infracciones y Sanciones, sin crear infracciones nuevas.
Primera Disposición Complementaria Final
Reglamentación. El Poder Ejecutivo, mediante decreto supremo refrendado por el ministro de Transportes y Comunicaciones, previa opinión del OSIPTEL, reglamenta la presente ley en un plazo no mayor de noventa días hábiles contados a partir del día siguiente de su publicación. El OSIPTEL adecúa su Reglamento General de Infracciones y Sanciones en un plazo de noventa días hábiles contados desde la publicación del reglamento.
Segunda Disposición Complementaria Final
Coordinación con la Ley 32323. La numeración especial para llamadas comerciales prevista en la normativa de desarrollo de la Ley 32323 se integra a los mecanismos de autenticación de la presente ley.
Tercera Disposición Complementaria Final
Financiamiento. La implementación de la presente ley se financia con cargo al presupuesto institucional del OSIPTEL y del Ministerio de Transportes y Comunicaciones, sin demandar recursos adicionales al Tesoro Público.
Única Disposición Complementaria Transitoria
Implementación gradual. Las obligaciones de los artículos 4 a 7 son exigibles a los nueve meses de la entrada en vigencia del reglamento; las del numeral 3.1, a los dieciocho meses en las interconexiones nacionales en protocolo de internet, y conforme al cronograma del numeral 3.3 en las demás.
Análisis costo-beneficio
El gasto público es bajo y se financia con el presupuesto del OSIPTEL (aporte por regulación) y del MTC: el editor estima S/ 1 a 2,5 millones para el desarrollo del registro y del canal de reporte y S/ 0,5 a 1 millón anuales de operación. Los operadores asumen inversiones en autenticación y filtrado; el escalonamiento por tramos de protocolo de internet y los plazos de nueve a dieciocho meses reducen el costo y evitan el etiquetado masivo de llamadas legítimas. El beneficio es la reducción de la superficie de ataque del fraude por ingeniería social, que afecta especialmente a adultos mayores, y la protección de la reputación de bancos y entidades públicas suplantadas. Las garantías de verificación y desbloqueo evitan bloqueos abusivos. No se dispone de cifras oficiales del costo del fraude telefónico en el Perú.
Impacto económico: detalle y supuestos
Estimación referencial con supuestos explícitos · confianza: baja. No es un dato oficial ni reemplaza el informe del MEF.
gasto
S/ 1–2,5 millones (único) y S/ 0,5–1 millón/año, estimación del editor
2027-2028 desarrollo; anual desde 2028
Presupuesto institucional del OSIPTEL (aporte por regulación) y del MTC, sin demandar recursos adicionales al Tesoro Público.
Menor uso fraudulento de la numeración de entidades públicas; insumos para la investigación penal. No cuantificable con información pública.
Reducción del fraude por suplantación telefónica y por mensajes; mayor confianza en las comunicaciones de bancos y entidades. No cuantificable con información pública.
Inversión de los operadores en plataformas de firma y verificación de llamadas y en filtrado de SMS; no cuantificable con información pública.
Implementación de autenticación en tramos IP, filtrado de mensajes y gestión de listas de bloqueo por las operadoras; costo de registro nulo para remitentes.
Etiquetado de llamadas legítimas como no verificadas durante la transición; bloqueos indebidos por reportes maliciosos (mitigado por el art. 6.2); persistencia de tramos TDM/SS7.
Desarrollo del Registro de Remitentes, el canal de reporte multicanal y la lista de numeración protegida en el OSIPTEL, con 4 a 6 plazas de operación y verificación; costos unitarios supuestos por el editor, sin fuente oficial.
Revisión especializada
Revisión asistida por IA desde cinco especialidades, sobre la versión anterior del texto. No reemplaza la revisión de un abogado ni el dictamen de comisión.
Observaciones atendidas en esta versión: 17 corregidas, 0 parciales, 0 no aplicadas (con justificación).
| Especialidad | Veredicto | Opinión |
|---|---|---|
| Constitucional | Conforme | Las medidas se basan en metadatos de señalización y no en el contenido de las comunicaciones; el art. 7 excluye expresamente la interceptación, con lo que se respeta el secreto de las comunicaciones (art. 2.10). Las cargas a los operadores son proporcionales y graduales. Sin observaciones constitucionales relevantes. Hallazgos: 0 altos · 0 medios · 2 bajos |
| Técnica legislativa | Con observaciones | Es una propuesta técnicamente concreta y bien articulada con la Ley 32323 y la Ley 29571, pero impone obligaciones de registro a remitentes no supervisados por OSIPTEL sin consecuencia jurídica, deja la tipificación a una adecuación reglamentaria sin calificar las infracciones y carece de definiciones. Hallazgos: 0 altos · 2 medios · 2 bajos |
| Concordancia normativa | Con observaciones | Normas citadas verificadas (Ley 32323 modificó el art. 58 de la Ley 29571; Ley 28493; D.Leg. 1338). No hay duplicidad con norma legal vigente sobre spoofing, pero sí superposición con CIB-05 (bloqueo de remitentes alfanuméricos) y con las competencias de numeración del MTC, que el texto no considera. Hallazgos: 0 altos · 2 medios · 3 bajos |
| Seguridad | Con observaciones | Medidas técnicamente correctas (autenticación del origen, bloqueo de llamadas internacionales con numeración nacional, registro de remitentes, lista de numeración protegida) y con límite expreso a la interceptación. El canal de reportes ciudadanos que deriva en bloqueos necesita verificación y vía de reclamo para evitar bloqueos abusivos de números legítimos. Hallazgos: 0 altos · 1 medios · 1 bajos |
| Derecho tecnológico | Con observaciones | Propuesta técnicamente acertada y bien articulada con la Ley 32323 (verificada: modifica el art. 58 de la Ley 29571). Debe reconocer que la autenticación tipo STIR/SHAKEN solo funciona en redes IP y no cubre tramos TDM/SS7 ni el tráfico internacional, por lo que necesita una solución escalonada; también debe prever excepciones para centros de contacto en el extranjero y corregir la referencia comparada de Singapur. Hallazgos: 0 altos · 1 medios · 3 bajos |
Efecto de la vigencia sobre la legislación nacional
Complementa la Ley 32323 y el artículo 58 de la Ley 29571; complementa la Ley 27336 (potestad sancionadora del OSIPTEL, con infracciones calificadas en esta ley), la Ley 28493, la Ley 29733 y el Decreto Legislativo 1338; obliga a adecuar el Plan Técnico Fundamental de Numeración (TUO de la Ley de Telecomunicaciones, D.S. 013-93-TCC, y su Reglamento General, D.S. 020-2007-MTC) y el Reglamento General de Infracciones y Sanciones del OSIPTEL. Es la norma de referencia sobre remitentes alfanuméricos para otras propuestas. No requiere votación de ley orgánica.
Indicador de éxito al 2031
A 2029, autenticación de identificador implementada por todos los operadores móviles; registro de remitentes operativo y reportes ciudadanos publicados trimestralmente por OSIPTEL.
Normas relacionadas
- Ley 32323, que modifica el artículo 58 del Código de Protección y Defensa del Consumidor (comunicaciones comerciales no solicitadas)
- Ley 29571, Código de Protección y Defensa del Consumidor
- Ley 28493, Ley que regula el uso del correo electrónico comercial no solicitado
- Ley 29733, Ley de Protección de Datos Personales
- Decreto Legislativo 1338, que crea el Registro Nacional de Equipos Terminales Móviles para la Seguridad (RENTESEG)
Antecedentes
PL 13347/2025-CR, que protege del enmascaramiento y de la suplantación de identidad telefónica a los usuarios de los servicios de telefonía (en comisión, periodo 2021-2026, según verificación en SPLEY del revisor normativo). Antecedente normativo: Ley 32323 (2025).
Referencias internacionales
Fuentes
¿Qué opinas de esta propuesta?
Apoya o rechaza esta propuesta y deja tu comentario. No necesitas cuenta; todo queda registrado y se consolida en la página Ciudadanía.
Privacidad · Propuesta ciudadana de libre uso para cualquier congresista, bancada o colectivo que quiera presentarla. No es un proyecto de ley presentado ni tiene número en el Congreso. Cítala y mejórala.