CRC - Resolución 8224 de 2026

RESOLUCIÓN No. 8224 DE 2026

«Por la cual se recupera el código corto 890094, asignado a AXESNET S.A.S. para la provisión de contenidos y aplicaciones a través de SMS o USSD»

LA COORDINACIÓN DEL GRUPO INTERNO DE TRABAJO DE RELACIONES

CON GRUPOS DE VALOR DE LA COMISIÓN DE REGULACIÓN DE

COMUNICACIONES

En ejercicio de sus facultades legales conferidas por la Ley, en especial las previstas en los numerales 12 y 13 del artículo 22 de la Ley 1341 de 2009, modificada por la Ley 1978 de 2019, el artículo 2.2.12.1.1.1 del Decreto 1078 de 2015, el artículo 6.1.1.9 de la Resolución CRC 5050 de 2016, el artículo 7 de la Resolución CRC 580 de 2025 y,

CONSIDERANDO

1. ANTECEDENTES

El 25 de febrero de 2026 , por medio del radicado 2026804107, la sociedad BANCOLOMBIA informó a la Comisión de Regulación de Comunicaciones (CRC) no haber autorizado el envío de mensajes de texto (SMS) en su nombre desde el código corto 890094. La sociedad manifestó que ha recibido múltiples quejas y reportes de sus clientes relacionadas con el envío de mensajes de texto (SMS) fraudulentos que utilizan la identidad corporativa del BANCOLOMBIA, incluyendo enlaces falsos que simulan su portal transaccional. En respaldo de lo anterior, allegó las siguientes imágenes:

Imagen 1

Fuente: Expediente 1

Imagen 2

Fuente: Expediente 2

incluyendo enlaces falsos que simulan su portal transaccional. En respaldo de lo anterior, allegó las siguientes imágenes:

Imagen 1

Fuente: Expediente 1

Imagen 2

Fuente: Expediente 2

En aras de darle trámite a la queja recibida, la CRC procedió a revisar la información asociada al

1 Radicado número 2026804107 del 25 de febrero de 2026. 2 Íbidem.Continuación de la Resolución No. 8224 de 19 de mayo de 2026 Hoja No. 2 de 8

código corto 890094, evidenciando que este fue solicitado por AXESNET S.A.S., en adelante, AXESNET, bajo la modalidad de servicio «Gratuito para el usuario »3, y que el mismo fue asignado mediante la Resolución CRC 4975 del 28 de junio de 2016.

Bajo este contexto, y después de revisar la información que reposa en el expediente , por medio de la comunicaci ón con radicado 2026511668 del 8 de abril de 202 6, la Coordinadora de Relaciones con Grupos de Valor de la CRC, en ejercicio de las funciones de Administrador de los Recursos de Identificación inició una actuación administrativa para la eventual recuperación del código corto 890094. Lo anterior, en la medida que presuntamente se habría configurado la causal de recuperación establecida en el numeral 6.4.3.2.8. del artículo 6.4.3.2. del Título VI de

la Resolución CRC 5050 de 2016 4. Asimismo, en aplicación del parágrafo 3 del artículo 6.1.1.8. de la Resolución CRC 5050 de 20165, la CRC ordenó a los a los Proveedores de Redes y Servicios de Telecomunicaciones Móviles (PRSTM), implementar las medidas necesarias en sus respectivas redes para garantizar la suspensión temporal del tráfico del código corto 890094.

El inicio de la mencionada actuación administrativa fue comunicado a AXESNET el 9 de abril de 2026 mediante correo electrónico. En aras de garantizar el derecho al debido proceso, la CRC le informó que, dentro de los quince (15) días siguientes al recibo de la mencionada comunicación, esa sociedad podría formular observaciones, presentar y solicitar pruebas. Adicionalmente, se le solicitó informar el uso que le ha dado al código corto 890094, y allegar la copia de la autorización expresa y por escrito otorgada por BANCOLOMBIA para el envío de SMS en su nombre desde el referido código corto.

Mediante comunicación con número de radicado 2026809336 del 28 de abril de 2026, AXESNET se pronunció sobre el inicio de la mencionada actuación administrativa y allegó la información que consideró pertinente.

2. PRONUNCIAMIENTO AXESNET

AXESNET, en su calidad de asignatario del código corto 890094, manifestó que los SMS objeto de la actuación administrativa no fueron generados directamente por dicha sociedad, sino por un tercero que utiliza su plataforma tecnológica para el envío de comunicaciones, identificado como LIWA S.A.S. En este sentido, indicó que, tras la validación interna realizada, se estableció que

tercero que utiliza su plataforma tecnológica para el envío de comunicaciones, identificado como LIWA S.A.S. En este sentido, indicó que, tras la validación interna realizada, se estableció que el envío de estos mensajes fue efectuado por dicho cliente, frente a lo cual se trasladó la respectiva queja solicitando el detalle de lo ocurrido.

De igual manera, señaló que, conforme a la información suministrada por LIWA S.A.S., la cuenta asociada al envío de los mensajes habría sido creada mediante el uso de documentación falsa, configurándose un posible caso de suplantación de identidad. En relación con lo anterior, AXESNET informó que «como medida inmediata frente a los hallazgos identificados, la cuenta fue suspendida el día 09/01/2026 a las 09:17:38, conforme al registro de plataforma, por posible fraude asociado al envío de documentos de identidad falsificados.»

En línea con lo anterior, la sociedad explicó que su intervención en la cadena de envío de los mensajes es de carácter meramente técnico o instrumental, en la medida en que proporciona la infraestructura tecnológica que permite a sus clientes realizar el e nvío de mensajes a través de la numeración asignada, sin intervenir en la definición del contenido, la selección de los destinatarios o las finalidades de las campañas de mensajería.

Adicionalmente, AXESNET indicó que, una vez identificada la situación, el cliente involucrado realizó revisiones internas y adoptó acciones orientadas a la contención del riesgo, así como a la protección del ecosistema de mensajería. Igualmente, señaló que se identificaron oportunidades de mejora en los controles existentes, lo que dio lugar a la implementación de medidas

protección del ecosistema de mensajería. Igualmente, señaló que se identificaron oportunidades de mejora en los controles existentes, lo que dio lugar a la implementación de medidas adicionales de validación y al fortalecimiento de los procesos de alta y monitoreo, con el fin de mitigar la recurrencia de situaciones similares.

3 Solicitud de Asignación C.C 890094 Radicado 201671121 del 6 de agosto de 2016. 4Resolución CRC 5050 de 2016. Título VI, Artículo 6.4.3.2. “Causales de recuperación de la numeración de códigos cortos para SMS y USSD. El Administrador de los Recursos de Identificación podrá recuperar total o parcialmente la numeración de códigos cortos para SMS y USSD (…) 6.4.3.2.8. Cuando a través de esta numeración se envíen mensajes en nombre de terceros que no hayan autorizado expresamente y por escrito su envío o contenido (…)”. 5Resolución 5050 de 2016, Artículo 6.1.1.8. «Recuperación de los recursos de identificación (…) PARÁGRAFO 3. En las actuaciones administrativas de recuperación de códigos cortos iniciadas por las causales señaladas en los numerales 6.4.3.2.2., 6.4.3.2.8. y 6.4.3.2.9. del artículo 6.4.3.2. de la prese nte resolución, la CRC podrá ordenar, en el acto de

apertura de la actuación administrativa, la suspensión temporal del uso del recurso de identificación. Dicha suspensión se mantendrá durante el trámite administrativo y no podrá exceder un plazo máximo de seis (6) meses».Continuación de la Resolución No. 8224 de 19 de mayo de 2026 Hoja No. 3 de 8

En este sentido, la sociedad manifestó que cuenta con un conjunto de controles técnicos y normativos orientados a la prevención del uso indebido del recurso de identificación, dentro de los cuales se incluyen sistemas de filtrado heurístico y análisis de contenido que auditan el tráfico en tiempo real mediante algoritmos de detección basados en patrones lingüísticos y palabras clave asociadas a intentos de suplantación, así como la evaluación de la estructura de los mensajes, la coherencia del remitente y l a presencia de indicadores de riesgo como enlaces sospechosos o solicitudes de credenciales.

De igual forma, indicó que dispone de mecanismos de validación de hipervínculos (URL screening), mediante los cuales se analizan los enlaces contenidos en los mensajes para identificar posibles redireccionamientos hacia dominios catalogados como maliciosos o fraudulentos, incluyendo su verificación a través de servicios especializados de análisis de URL.

Adicionalmente, AXESNET señaló que su operación incorpora procesos de gestión de listas de control y cumplimiento normativo, incluyendo la consulta automatizada al Registro Nacional de Excluidos (RNE) y la administración de listas internas de bloque , alimentadas por reportes de fraude y análisis de tráfico, con el fin de inhabilitar remitentes sospechosos de manera inmediata.

En el mismo sentido, indicó que cuenta con protocolos de control reactivo que permiten, ante la

fraude y análisis de tráfico, con el fin de inhabilitar remitentes sospechosos de manera inmediata.

En el mismo sentido, indicó que cuenta con protocolos de control reactivo que permiten, ante la detección de eventos asociados a suplantación, phishing u otras conductas que infrinjan las políticas aplicables, proceder al bloqueo del acceso del cliente inv olucrado y a la suspensión del envío de tráfico mientras se adelantan las verificaciones correspondientes.

Finalmente, la sociedad manifestó que dispone de un proceso automatizado de auditoría de campañas de mensajería, mediante el cual se monitorean de forma periódica los envíos masivos, identificando posibles intentos de phishing a través de la comparación de l contenido de los mensajes con patrones previamente identificados como riesgosos, generando alertas internas cuando se detectan niveles de similitud relevantes, con el fin de adoptar medidas preventivas o de bloqueo inmediato.

3. COMPETENCIA DE LA CRC

En virtud de lo dispuesto los numerales 12 y 13 del artículo 22 de la Ley 1341 de 2009 6, modificado por el artículo 19 de la Ley 1978 de 2019, la CRC tiene la función de regular y administrar los recursos de identificación utilizados en la provisión de redes y servicios de telecomunicaciones, y administrar el uso de los recursos de numeración, identificación de redes de telecomunicaciones y otros recursos escasos, diferentes al espectro radioeléctrico y al nombre de dominio de internet bajo el código del país correspondiente a Colombia -.co-.

Asimismo, el Decreto 1078 de 2015, estable ce que (i) para preservar y garantizar el uso adecuado de los recursos técnicos , la CRC debe administrar los planes básicos de acuerdo con

Asimismo, el Decreto 1078 de 2015, estable ce que (i) para preservar y garantizar el uso adecuado de los recursos técnicos , la CRC debe administrar los planes básicos de acuerdo con lo establecido en la ley y siguiendo los principios de neutralidad, transparencia, igualdad, eficacia, publicidad, moralidad y promoción de la competencia 7; (ii) la mencionada administración, comprende las modificaciones y/o adiciones que se hagan a la estructura de la numeración, a los mapas de numeración, a los cuadros contenidos en el plan y a cualquier otro aspecto que requiera ser incluido dentro de este 8; (iii) los números, bloques de numeración, códigos, prefijos, entre otros, son recursos públicos y pertenecen al Estado, el cual tiene la potestad de asignarlos a los proveedores de redes y servicios de telecomunicaciones y por lo tanto también podrá recuperarlos cuando se den las condiciones que determine la CRC, en la medida que la asignación de dichos recursos no otorga ningún derecho de propiedad sobre ellos9.

6 Ley 1341 de 2009, artículo 22 . “Funciones de la Comisión de Regulación de Comunicaciones. Son funciones de la Comisión de Regulación de Comunicaciones respecto de la provisión de redes y servicios de telecomunicaciones (…) las siguientes: (…) 12. Regular y administrar los recursos de identificación utilizados en la provisión de redes y servicios de telecomunicaciones y cualquier otro recurso que actualmente o en el futuro identifique redes y usuarios, salvo el nombre de dominio de Internet bajo el código del país correspondiente a Colombia -.co-,, 13. Administrar el uso de los recursos de numeración, identificación de redes de telecomunicaciones y otros recursos escasos utilizados en las telecomunicaciones, diferentes al espectro radioeléctrico”.

de dominio de Internet bajo el código del país correspondiente a Colombia -.co-,, 13. Administrar el uso de los recursos de numeración, identificación de redes de telecomunicaciones y otros recursos escasos utilizados en las telecomunicaciones, diferentes al espectro radioeléctrico”. 7 Decreto 1078 de 2015. Art. 2.2.12.1.1.1. “Administración de los planes técnicos básicos. La Comisión de Regulación de Comunicaciones deberá administrar los planes técnicos básicos, de conformidad con las disposiciones contenidas en este Título y siguiendo los principios de neutralidad, transparencia, igualdad, eficacia, publicidad, moralidad y promoción de la competencia con el fin de preservar y garantizar el uso adecuado de estos recursos técnicos.” 8 Decreto 1078 de 2015. Art. 2.2.12.5.3. Administración de los planes técnicos básicos. (…) “La administración del plan de numeración comprenderá las modificaciones y/o adiciones que se hagan a la estructura de la numeración, a los mapas de numeración, a los cuadros contenidos en el plan y a cualquier otro aspecto que requiera ser incluido dentro del mencionado plan”. 9 Decreto 1078 de 2015. Art. 2.2.12.1.2.5. “Naturaleza de la numeración. Los números, bloques de numeración, códigos, prefijos, entre otros, son recursos públicos y pertenecen al Estado, el cual puede asignarlos a los proveedores de redesContinuación de la Resolución No. 8224 de 19 de mayo de 2026 Hoja No. 4 de 8

En cumplimiento de lo anterior, por medio del Título VI de la Resolución CRC 5050 de 2016 , la CRC definió quienes pueden ser los sujetos asignatarios de los recursos de identificación

En cumplimiento de lo anterior, por medio del Título VI de la Resolución CRC 5050 de 2016 , la CRC definió quienes pueden ser los sujetos asignatarios de los recursos de identificación (incluidos los códigos cortos ), los procedimientos para su gestión y atribució n, la recopilación y actualización de los datos relativos a este recurso numérico, entre otros aspectos.

Adicionalmente y en lo relacionado con la recuperación de los códigos cortos, la Resolución CRC 5050 de 2016 establece que:

(i) previa actuación administrativa, la CRC puede recuperar los recursos de identificación que han sido asignados (entre estos los códigos cortos) cuando se haya configurado alguna de las causales de recuperación establecidas en el artículo 6.4.3.2 de la mencionada resolución o cuando el código corto sea utilizado de forma ineficiente10 y (ii) las funciones del administrador de los recursos de identificación, incluidas las relacionadas con la expedición de los actos administrativos de asignación, devolución y recuperación de todos los recursos de identificación bajo la responsabilidad de la CRC, fueron delegadas al Coordinador del Grupo Interno de Trabajo de Relacionamiento con Agentes11. Con ocasión a la expedición de la Resolución CRC 580 del 14 de octubre de 202512, el referido grupo interno de trabajo hoy se denomina Grupo Interno de Trabajo de Relaciones con Grupos de Valor.

Así las cosas, el Coordinador del Grupo Interno de Trabajo de Relaciones con Grupos de Valor, es competente para adelantar las actuaciones administrativas a que haya lugar cuando advierta la presunta configuración de alguna de las causales de recuperación, o el posible incumplimiento de las obligaciones generales y criterios de uso eficiente por parte de los asignatarios de recursos

es competente para adelantar las actuaciones administrativas a que haya lugar cuando advierta la presunta configuración de alguna de las causales de recuperación, o el posible incumplimiento de las obligaciones generales y criterios de uso eficiente por parte de los asignatarios de recursos de identificación, y así poder determinar si hay o no lugar a su recuperación.

3.1. EL MARCO NORMATIVO DE LOS CÓDIGOS CORTOS

Tal y como se mencionó en el acápite anterior, la CRC, en cumplimiento de las funciones descritas en la Ley 1341 de 2009, modificada por la Ley 1978 de 2019 y en los términos previstos en el Decreto 25 de 2002, compilado en el Decreto 1078 de 2015, ha definido y actualizado el marco regulatorio de los recursos de identificación, así como los procedimientos para su gestión y atribución de forma transparente y no discriminatoria.

Este marco regulatorio fue establecido en las Resoluciones CRC 3501 de 2011, 5968 de 2020 y 6522 de 2022, compiladas en el Título VI de la Resolución CRC 5050 de 2016, donde se fijaron las condiciones de acceso a las redes de telecomunicaciones por parte de Proveedores de Contenidos y Aplicaciones (PCA) a través de SMS y mensajes USSD 13 sobre redes de telecomunicaciones de servicios móviles . De igual manera, se definió la estructura de la numeración de códigos cortos para la provisión de contenidos y aplicaciones a través de SMS/USSD, así como el procedimiento para la asignación, obligaciones generales, criterios de uso eficiente y causales de recuperación de este recurso numérico.

Teniendo en cuenta lo anterior, el artículo 6.4.1.3. de la Resolución CRC 5050 de 2016 señala

uso eficiente y causales de recuperación de este recurso numérico.

Teniendo en cuenta lo anterior, el artículo 6.4.1.3. de la Resolución CRC 5050 de 2016 señala que la CRC asigna códigos cortos a quienes provean servicios de contenidos o aplicaciones a través de SMS, es decir, a los PCA y a los integradores tecnológicos. En el mismo sentido, los

y servicios de telecomunicaciones y recuperarlos cuando se den las condiciones que determine la Comisión de Regulación de Comunicaciones para la recuperación de éstos. La asignación de dichos recursos a los operadores no les otorga derecho de propiedad alguno sobre ellos. Los recursos asignados no podrán ser transferidos por los proveedores de redes y servicios de telecomunicaciones, sin la autorización de la Comisión de Regulación de Comunicaciones”. 10 Resolución 5050 de 2016. Art. 6.1.1.8. Recuperación de los recursos de identificación. Cuando el Administrador de los Recursos de Identificación, mediante los mecanismos de verificación de uso diseñados para tal fin, detecte la presunta configuración de alguna de las causales de recuperación establecidas o el presunto uso ineficiente de algún recurso de identificación asignado, ejecutará el procedimiento de recuperación establecido en el numeral 6.1.8.1. del presente artículo, teniendo en cuenta los términos establecidos en el Código de Procedimiento Administrativo y de lo Contencioso Administrativo – CPACA – para las actuaciones administrativas 11 Resolución 5050 de 2016. Art. 6.1.1.9. “Delegación de la administración de los recursos de identificación. Delegar en el funcionario de la Comisión de Regulación de Comunicaciones que haga las veces de Coordinador del Grupo Interno de

11 Resolución 5050 de 2016. Art. 6.1.1.9. “Delegación de la administración de los recursos de identificación. Delegar en el funcionario de la Comisión de Regulación de Comunicaciones que haga las veces de Coordinador del Grupo Interno de Trabajo de Relacionamiento con Agentes las funciones del Admi nistrador de los Recursos de Identificación, incluidas la expedición de los actos administrativos de asignación, devolución y recuperación de todos los recursos de identificación bajo la responsabilidad de la CRC”. 12 “Por medio de la cual se establecen las funciones de los grupos internos de trabajo de la CRC”. 13 En el año 2014, la CRC consideró necesario extender el ámbito de la Resolución CRC 3501 de 2011, modificando su objeto de aplicación y las demás disposiciones contenidas en dicho acto, de modo que resulten igualmente aplicables a los servicios basados en la utilización de USSD. Así mismo, debido a la poca demanda histórica del servicio de mensajería MMS (Multimedia Message Service), se consideró pertinente retirar de la regulación las obligaciones relacionadas con este tipo de mensajería móvil que se encue ntran incluidas en el Título 1, el Capítulo 1 del Título 2 y el Capítulo 4 del Título 4 de la Resolución CRC 5050 de 2016.Continuación de la Resolución No. 8224 de 19 de mayo de 2026 Hoja No. 5 de 8

PRST que presten servicios de contenidos o aplicaciones, pueden solicitar la asignación de sus propios códigos cortos en calidad de PCA.

Igualmente, el artículo 6.4.3.2 de la Resolución CRC 5050 de 2016, dispone que la CRC puede recuperar los códigos cortos asignados, previo agotamiento de la respectiva actuación

Igualmente, el artículo 6.4.3.2 de la Resolución CRC 5050 de 2016, dispone que la CRC puede recuperar los códigos cortos asignados, previo agotamiento de la respectiva actuación administrativa, cuando constate que el asignatario incurrió en alguna de las c ausales detalladas en el mencionado artículo o incumplió alguna de las obligaciones y criterios de uso eficiente consagrados en el artículo 6.4.3.1. de la misma resolución.

En conclusión, y como se ha indicado previamente, es claro que en la regulación está establecido que la asignación de los recursos de identificación, incluidos los códigos cortos, no otorga derecho de propiedad sobre los mismos, es decir, dicha asignación únicamente confiere el derecho al uso, en la medida en que estos recursos son de propiedad pública y, de acuerdo con su naturaleza, están categorizados como escasos.

3.2. ANÁLISIS DE LA CAUSAL DE RECUPERACIÓN OBJETO DE LA ACTUACIÓN

ADMINISTRATIVA

Como se mencionó anteriormente, la presente actuación administrativa fue iniciada con el fin de determinar si resulta procedente la recuperación del código corto 890094, asignado a AXESNET. Lo anterior, en atención a las quejas recibidas por la CRC por parte BANCOLOMBIA, mediante las cuales se puso en conocimiento a esta Entidad acerca d el presunto uso indebido del referido recurso de identificación.

De acuerdo con lo establecido en el radicado 2026511668 del 8 de abril de 2026 , mediante el cual se comunicó a AXESNET el inicio de la presente actuación administrativa, esta Comisión procederá a verificar si el asignatario del código corto 890094 incurrió o no en alguna de las

cual se comunicó a AXESNET el inicio de la presente actuación administrativa, esta Comisión procederá a verificar si el asignatario del código corto 890094 incurrió o no en alguna de las causales de recuperación señaladas en el artículo 6.4.3.2 del Título VI de la Resolución CRC 5050 de 2016, en particular la prevista en el numeral 6.4.3.2.8, que señala que procede la recuperación del código corto en el evento del envío de SMS en nombre de terceros que no autorización al asignatario de forma expresa y por escrito.14

3.2.1. SOBRE LA CAUSAL DE RECUPERACIÓN ESTABLECIDA EN EL NUMERAL 6.4.3.2.8

DEL ARTÍCULO 6.4.3.2. DE LA RESOLUCIÓN CRC 5050 DE 2016

El numeral 6.4.3.2.8 del artículo 6.4.3.2 de la Resolución CRC 5050 de 2016 establece que la Comisión podrá recuperar códigos cortos asignados «cuando a través de esta numeración se envíen mensajes en nombre de terceros que no hayan autorizado expresamente y por escrito su envío o su contenido».

En el presente caso, la actuación administrativa se inició a partir de la comunicación remitida a la CRC por parte de BANCOLOMBIA, mediante la cual se informó la recepción de mensajes de texto (SMS) enviados desde el código corto 890094, en los que se utilizaba el nombre de dicha entidad sin que se acreditara la existencia de autorización expresa y por escrito para el envío de mensajes en su nombre desde ese recurso de identificación.

De acuerdo con la información que obra en el expediente, la CRC evidenció que el código corto

entidad sin que se acreditara la existencia de autorización expresa y por escrito para el envío de mensajes en su nombre desde ese recurso de identificación.

De acuerdo con la información que obra en el expediente, la CRC evidenció que el código corto 890094 fue asignado a la sociedad AXESNET bajo la modalidad «Gratuito para el usuario», y que, en el marco de la presente actuación administrativa, se allegaron elementos que dan cuenta del envío de mensajes de texto en los que se utiliza la identidad de terceros, incluyendo contenidos asociados a productos de carácter financiero y enlaces para interacción del usuario, respecto de los cuales BANCOLOMBIA manifestó expresamente no haber autorizad o su envío ni el uso de su nombre.

En este sentido, a partir de la información remitida por BANCOLOMBIA, así como de las evidencias documentales incorporadas al expediente, esta Comisión advirtió la posible configuración de la causal de recuperación prevista en el numeral 6.4.3.2.8 del artículo 6.4.3.2 de la Resolución CRC 5050 de 2016, en tanto se evidenci ó el envío de mensajes en nombre de un tercero sin que medie autorización expresa y por escrito para tal efecto.

14Resolución CRC 5050 de 2016. Título VI, Artículo 6.4.3.2. “Causales de recuperación de la numeración de códigos cortos para SMS y USSD. El Administrador de los Recursos de Identificación podrá recuperar total o parcialmente la numeración de códigos cortos para SMS y USSD (…) 6.4.3.2.8. Cuando a través de esta numeración se envíen mensajes en nombre

para SMS y USSD. El Administrador de los Recursos de Identificación podrá recuperar total o parcialmente la numeración de códigos cortos para SMS y USSD (…) 6.4.3.2.8. Cuando a través de esta numeración se envíen mensajes en nombre de terceros que no hayan autorizado expresamente y por escrito su envío o contenido (…)”.Continuación de la Resolución No. 8224 de 19 de mayo de 2026 Hoja No. 6 de 8

Por su parte, AXESNET manifestó que los mensajes objeto de la actuación administrativa no fueron generados directamente por dicha sociedad, sino por un cliente que utiliza su plataforma tecnológica, identificado como LIWA S.A.S ., indicando que, tras la validación interna, se estableció que el envío fue realizado por dicho tercero. Asimismo, señaló que la cuenta asociada al envío de los mensajes habría sido creada mediante el uso de documentación falsa, configurándose un posible caso de suplantación de identidad, y que, como medida de contención manifestó que dicha cuenta fue suspendida el 9 de enero de 2026.

Adicionalmente, la sociedad indicó que su intervención en la cadena de envío de los SMS es de carácter meramente técnico o instrumental, en la medida en que proporciona la infraestructura tecnológica para el envío de mensajes a través de la numeración asignada, sin intervenir en la definición del contenido, la selección de destinatarios o la s finalidades de las campañas. Igualmente, señaló que cuenta con controles técnicos y operativos orientados a la prevención de usos indebidos, incluyendo sistemas de análisis de contenido, validación de enlaces, listas de control y procesos de monitoreo y auditoría de tráfico, así como protocolos de bloqueo y

usos indebidos, incluyendo sistemas de análisis de contenido, validación de enlaces, listas de control y procesos de monitoreo y auditoría de tráfico, así como protocolos de bloqueo y suspensión ante la detección de eventos asociados a fraude o suplantación.

No obstante, a partir de los elementos de prueba, esta Comisión evidenció que desde el código corto 890094 se efectuó el envío de SMS en los que se utiliza el nombre de un tercero que manifestó de forma expresa no haber autorizado ni el envío ni el contenido de estos. En consecuencia, se advierte la ausencia de la autorización expresa y por escrito por parte del tercero involucrado, elemento que resulta determinante para efectos de analizar la configuración de la causal prevista en el numeral 6.4.3.2.8 del artículo 6.4.3.2 de la Resolución CRC 5050 de 2016.

Los argumentos expuestos por AXESNET orientados a señalar que el incidente tuvo origen en el envío realizado por su cliente LIWA S.A.S., así como a indicar que su intervención se limita a la provisión de infraestructura tecnológica para el envío de mensajes sin participación en la generación del contenido, la administración de bases de datos o la definición de destinatarios, no desvirtúan la constatación objetiva de la causal aplicada. Ello es así porque la regulación vigente no supedita la recuperación del recurso a la autoría material del m ensaje ni al control directo del asignatario sobre el remitente final, sino a la verificación de un hecho estrictamente objetivo que, a través del código corto asignado, se enviaron mensajes en nombre de terceros sin contar con su autorización expresa y por escrito.

En este sentido, resulta necesario precisar que, en su calidad de asignatario del código corto

objetivo que, a través del código corto asignado, se enviaron mensajes en nombre de terceros sin contar con su autorización expresa y por escrito.

En este sentido, resulta necesario precisar que, en su calidad de asignatario del código corto 890094, AXESNET es responsable frente a la CRC por el uso adecuado del recurso de identificación y por el cumplimiento de las obligaciones asociadas a su asignación, sin que las condiciones operativas descritas por el asignatario modifiquen los deberes regulatorios derivados de dicha asignación. Aquella condición implica el deber de garantizar que la utilización del recurso se ajuste a las condiciones previstas en la Resolución CRC 5050 de 2016. En consecuencia, el hecho de que el envío material haya sido realizado por un tercero, o que se alegue la existencia de un posible caso de suplantación de identidad, no traslada ni excluye las obligaciones regulatorias derivadas de su condición de asignatario, ni releva la exigencia de verificar que el uso del código corto cuente con las autorizaciones previstas en la normativa vigente.

Tampoco resulta suficiente para desvirtuar la causal de recuperación que AXESNET haya adoptado medidas a la identificación de los hechos, tales como la suspensión de la cuenta asociada al cliente d