En octubre de 2025, CTIA publicó las Mejores Prácticas de Seguridad en Mensajería, un documento complementario autorregulatorio que acompaña a los Principios y Mejores Prácticas de Mensajería. Está dirigido a todo el ecosistema: operadores, agregadores DCA, plataformas CPaaS y emisores de mensajes, centrándose en riesgos como mensajes no deseados, suplantación de cuentas, abusos de dispositivos SIM y fugas de credenciales API. El texto no tiene validez jurídica federal, pero constituye una base práctica importante para las tres grandes operadoras de EE.UU. en materia de gestión de riesgos, filtrado de mensajes y sanciones sobre cuentas.
El documento se estructura en seis bloques principales de requisitos. Primero, mecanismos de supervisión e intercepción: los proveedores de servicio pueden bloquear mensajes sospechosos basándose en evaluaciones de riesgo, tomando en cuenta fraudes, rutas grises, falta de autenticación de identidad y reiterados incumplimientos de las normativas sectoriales.
Segundo, colaboración para recolección de evidencias y verificación KYC: ante incidentes de mensajería no deseada, los actores del sector solo deben recabar la información estrictamente necesaria para la trazabilidad y responder a consultas legítimas. Las plataformas CPaaS y agregadores deben aplicar la verificación KYC y conservar los datos reales de los emisores para investigaciones posteriores. Se recomienda realizar campañas de concienciación para que los usuarios identifiquen los ataques de smishing.
Tercero, escenarios de correo electrónico a SMS (Email‑to‑SMS): se exige activar los mecanismos de autenticación DKIM y SPF. Además, deben cumplir estrictamente las reglas de opt‑in y opt‑out; los mensajes que no cumplan serán bloqueados.
Cuarto, prevención de abusos en mensajería inalámbrica: se regulan específicamente los riesgos derivados de SIM‑boxes, SIM virtuales y números temporales desechables que generan grandes volúmenes de spam. Las plataformas deben vigilar aperturas masivas de tarjetas SIM y patrones de tráfico anómalo. Cuando se detecta el origen del abuso, se bloquea su acceso a la red; si hay indicios de delito, se traslada el caso a las autoridades.
Quinto, seguridad de credenciales API para plataformas CPaaS: la gestión de credenciales debe ajustarse a los estándares NIST y FIPS. El acceso de terceros a las API requiere acuerdos por escrito. Se deben vigilar indicios de robo de credenciales. En caso de compromiso de cuenta, la plataforma CPaaS y el emisor deben comunicarse mutuamente, suspender la cuenta afectada y corregir las vulnerabilidades del sistema, con medidas estrictas contra la suplantación de remitente (spoofing).
El documento define los contenidos prohibidos SHAFT: material sexual explícito, discursos de odio, contenidos relacionados con alcohol, armas de fuego y tabaco, todos ellos considerados objetivos prioritarios para su bloqueo.
