CIRCULAR 181 DE 2026

(septiembre 14)

<Fuente: Archivo interno entidad emisora>

COMISIÓN DE REGULACIÓN DE COMUNICACIONES

Para:	Asignatarios de recursos de identificación que formen parte del ecosistema A2P y proveedores de redes y servicios de telecomunicaciones (PRST).
De:	Comisión de Regulación de Comunicaciones (CRC).
Referencia:	LINEAMIENTOS GENERALES Y ORIENTADORES - MEDIDAS EDUCATIVAS, PEDAGÓGICAS Y DE INTERACCIÓN CON USUARIOS EN MATERIA DE PREVENCIÓN DEL FRAUDE EN EL MARCO DEL RÉGIMEN DE ADMINISTRACIÓN DE RECURSOS DE IDENTIFICACIÓN - RESOLUCIÓN CRC 8308 DE 2026

1. Objeto

La presente circular establece los lineamientos generales y orientadores para el cumplimiento de las actividades de pedagogía y prevención del fraude previstas en el artículo 6.14.1.3 de la Resolución CRC 5050 de 2016; adopta los modelos estándar de contenidos mínimos para el desarrollo de las campañas y los programas de formación interna (artículo 6.14.1.5); precisa el alcance de la cobertura por área funcional; define el hashtag oficial de seguimiento; y determina los formatos y el canal para remitir los comprobantes y reportes de cumplimiento.

Los lineamientos tienen carácter permanente y podrán actualizarse cuando las modalidades de fraude, los avances tecnológicos o la evidencia disponible lo ameriten. Las actualizaciones se publicarán en el micrositio institucional de prevención del fraude de la CRC^[1] y se comunicarán por los canales institucionales.

2. Ámbito de aplicación y responsabilidad

La circular aplica a cada asignatario de recursos de identificación que haga parte del ecosistema A2P y a cada PRST, respecto de su propia organización, canales y equipos de trabajo.

- La condición de obligado se determina por la calidad de asignatario de un recurso de identificación del ecosistema A2P o por la calidad de PRST, y no por la existencia de una relación directa con usuarios finales.

- La entidad que sea asignataria de un SENDER ID es destinataria directa de las obligaciones.

- El cumplimiento no se traslada ni se delega en otro asignatario, integrador tecnológico, contratista o tercero. El apoyo de terceros no modifica la responsabilidad del agente obligado.

- Los asignatarios sin relación directa con usuarios finales cuentan con la modalidad especial de cumplimiento prevista en el numeral 6 de esta circular.

3. Definiciones operativas

TÉRMINO	DEFINICIÓN PARA ESTA CIRCULAR
Campaña pedagógica	Conjunto articulado de contenidos y acciones de comunicación sobre un mismo tema de prevención de fraude dirigidos a un público definido y difundidos durante un trimestre. Todas las piezas deben compartir un objetivo, un mensaje principal y una recomendación clara para los usuarios. Una sola publicación no constituye una campaña. Tampoco se considera una nueva campaña la repetición, sin cambios, de los contenidos utilizados en otro trimestre.
Componente de contenido	Conjunto de contenidos mínimos que debe cubrir cada campaña pedagógica, de acuerdo con el artículo 6.14.1.3 de la Resolución CRC 5050 de 2016. Estos contenidos pueden distribuirse entre las diferentes piezas y acciones que integran la campaña, siempre que se presenten de manera articulada, comprensible e identificable dentro del respectivo trimestre. Para acreditar su cobertura, el agente obligado podrá adoptar el modelo orientador del Anexo 1 o desarrollar contenidos propios. En este último caso, deberá demostrar mediante la matriz de equivalencia del Anexo 2 cómo la campaña cubre la totalidad de los contenidos mínimos exigidos.
Difusión masiva	Divulgación de la campaña mediante los canales que permitan al agente obligado llegar de manera amplia al público definido. No se exige un número mínimo de personas alcanzadas, pero una sola publicación no acredita este requisito.
Difusión sostenida	Presencia de la campaña en diferentes momentos del trimestre. Se acredita cuando el agente obligado mantiene un contenido disponible en su página web durante el trimestre y realiza, como mínimo, cuatro (4) publicaciones o refuerzos en total a través de uno o varios de sus canales en semanas diferentes.
Difusión multicanal	Uso articulado de las redes sociales, la página web y los demás canales de comunicación disponibles para la atención a usuarios o clientes, como SMS (Short Message Service o servicio de mensajes cortos de texto) o mensajes reproducidos durante la espera en líneas telefónicas. Las piezas deberán adaptarse a las características de cada canal.
Formato accesible	Contenido que puede ser percibido y comprendido por diferentes públicos. Según el tipo de pieza, deberá utilizarse lenguaje sencillo, letra legible, buen contraste, subtítulos en los videos y descripción escrita de la información relevante incluida en imágenes o audios.
Cobertura por área funcional	Identificación de las áreas o dependencias cuyos equipos internos fueron capacitados, incluyendo como mínimo las señaladas en el artículo 6.14.1.5 de la Resolución CRC 5050 de 2016, o sus equivalentes organizacionales.
Comprobante	Evidencia verificable que permite establecer la ejecución, fecha, canal, contenido y responsable de una actividad.
Tema principal	Modalidad, situación o riesgo de fraude en el que se concentra la campaña del trimestre.
Mensaje principal	Idea fuerza que la campaña busca que los usuarios recuerden.
Acción recomendada	Instrucción concreta sobre lo que debe hacer el usuario, como no entregar información, finalizar una llamada, verificar por un canal oficial o reportar una situación sospechosa.
Regla de interpretación. Las métricas de impresiones, visualizaciones, aperturas o interacciones sirven como información complementaria. La presente circular no establece metas mínimas de alcance, comprensión o cambio de conducta.

4. Periodicidad y ciclo de cumplimiento

Cada agente obligado deberá desarrollar al menos cuatro (4) campañas al año, una por cada trimestre calendario, y realizar como mínimo dos (2) sesiones de formación interna al año, una por cada semestre calendario.^[2]

OBLIGACIÓN	PERIODO DE EJECUCIÓN	PLAZO DE REMISIÓN A LA CRC
Campaña 1	1 de enero a 31 de marzo	Dentro de los 15 días hábiles siguientes al 31 de marzo.
Campaña 2	1 de abril a 30 de junio	Dentro de los 15 días hábiles siguientes al 30 de junio.
Campaña 3	1 de julio a 30 de septiembre	Dentro de los 15 días hábiles siguientes al 30 de septiembre.
Campaña 4	1 de octubre a 31 de diciembre	Dentro de los 15 días hábiles siguientes al 31 de diciembre.
Formación - semestre 1	1 de enero a 30 de junio	Dentro de los 15 días hábiles siguientes al 30 de junio.
Formación - semestre 2	1 de julio a 31 de diciembre	Dentro de los 15 días hábiles siguientes al 31 de diciembre.

Las cuatro campañas podrán compartir un mismo nombre, imagen o concepto general. Sin embargo, cada campaña trimestral deberá tener un tema principal, un objetivo y contenidos propios. La simple repetición de una campaña anterior no acredita el cumplimiento de un nuevo trimestre.

5. Lineamientos para las campañas pedagógicas

5.1. Diseño y contenido mínimo de la campaña

Cada campaña deberá identificar, como mínimo:

- El riesgo o modalidad de fraude que aborda

- El público al que se dirige y, cuando corresponda, los grupos que requieren enfoque diferencial

- El mensaje principal y la recomendación o acción concreta que se espera del usuario

Además, la campaña deberá cubrir, de manera articulada y comprensible, los siguientes contenidos:

- Derechos de los usuarios respecto de sus datos personales.

–octubre a diciembre– y la primera sesión semestral de formación interna (6.14.1.5.) deberá realizarse durante el primer semestre de 2027 –enero a junio–.

- Modalidades de fraude existentes a través de mensajes de texto y llamadas de voz.

- Técnicas de ingeniería social utilizadas para obtener información confidencial.

- Señales de alerta y acciones que los usuarios pueden realizar para prevenir o mitigar el riesgo.

El agente obligado podrá utilizar integralmente el modelo orientador del Anexo 1 o desarrollar contenido propio. En este último caso deberá diligenciar la matriz de equivalencia del Anexo 2 para mostrar cómo cubre cada contenido mínimo.

5.2. Precisión y neutralidad del mensaje

Toda campaña deberá cumplir, como mínimo, los siguientes criterios:

- Diferenciar una señal de alerta de una confirmación de fraude. Una llamada etiquetada como sospechosa no constituye, por sí misma, una confirmación de fraude.

- No presentar toda comunicación publicitaria, comercial o de cobranza como fraudulenta.

- No afirmar que una herramienta elimina completamente el riesgo.

- No recomendar ni favorecer marcas, proveedores o soluciones comerciales específicas.

- No solicitar a los usuarios contraseñas, códigos de autenticación, datos financieros u otra información confidencial para participar en la campaña.

- Priorizar mensajes verificables, vigentes y coherentes con los canales oficiales del agente obligado y de las autoridades competentes.

- Comunicar en cada pieza una idea principal y una recomendación clara para el usuario.

5.3. Enfoque diferencial, lenguaje claro y accesibilidad

El agente obligado deberá identificar las adaptaciones pertinentes para adultos mayores, personas con discapacidad, usuarios con bajos niveles de alfabetización digital y usuarios en zonas con menor acceso a servicios digitales.

CRITERIO	APLICACIÓN PRÁCTICA
Lenguaje claro	Frases breves; una idea principal por bloque; explicación de términos como smishing, vishing, wangiri o spoofing, entre otros; verbos de acción; instrucciones ordenadas.
Comprensión	Ejemplos cotidianos, señales observables y acciones concretas: detenerse, no entregar datos, verificar por un canal oficial y reportar.
Visual	Contraste suficiente, jerarquía clara, letra legible y contenido que no dependa únicamente del color.
Audiovisual	Subtítulos en videos y transcripción o alternativa textual para audios, cuando el canal lo permita.
Imágenes	Texto alternativo o descripción equivalente para información relevante contenida en imágenes, cuando la plataforma lo permita.
Acceso limitado	Piezas livianas, mensajes breves y uso de canales de menor consumo de datos o de relacionamiento disponibles.

5.4. Difusión

La campaña deberá difundirse en las redes sociales del agente obligado, su página web y los demás canales que utilice para comunicarse con sus usuarios o clientes.

El agente obligado deberá:

- Mantener un contenido de la campaña disponible en su página web durante el trimestre.

- Realizar, como mínimo, cuatro publicaciones o refuerzos en total, en semanas diferentes.

- Adaptar las piezas al formato y lenguaje de cada canal.

- Utilizar, cuando disponga de él, al menos un canal directo de comunicación con usuarios o clientes, como mensajes de texto, correo, aplicación, factura o sistema de audio respuesta.

Las cuatro publicaciones o refuerzos se cuentan en total, sin importar el número de canales utilizados. Publicar exactamente la misma pieza en varios canales, en una misma fecha, cuenta como una sola acción de difusión.

Cuando un canal no admita razonablemente una pieza o funcionalidad específica, el agente obligado podrá adaptar el formato conservando el mensaje esencial. La imposibilidad técnica de usar un canal deberá documentarse y no exime de utilizar los demás canales disponibles.

5.5. Hashtag oficial

El hashtag oficial de seguimiento será: #LaClaveEsVerificar

Ejemplos:

Una alerta te da una señal. Verificar te ayuda a decidir.

#LaClaveEsVerificar

Antes de compartir datos, códigos o dinero, consulta directamente el canal oficial. #LaClaveEsVerificar

Un mensaje puede parecer real. Una llamada también.

#LaClaveEsVerificar

- Deberá utilizarse con su escritura exacta en las publicaciones de redes sociales relacionadas con la campaña.

- Podrá acompañarse de hashtags propios, siempre que no sustituyan el hashtag oficial.

- No será exigible en canales que no admitan razonablemente hashtags, como llamadas, piezas impresas o mensajes cuyo formato no los soporte.

- Su uso facilita la identificación y el seguimiento, pero no reemplaza los comprobantes que deben remitirse a la CRC.

6. Modalidad para asignatarios sin relación directa con usuarios finales

Los asignatarios de recursos de identificación que no tengan relación directa con usuarios finales podrán cumplir esta obligación compartiendo, cada trimestre, contenidos oficiales y vigentes de la CRC.

Para cada trimestre deberán:

- seleccionar contenidos oficiales vigentes y pertinentes desarrollados por la CRC;

- difundirlos durante el trimestre en sus canales disponibles;

- mantener la identificación de la fuente CRC y la integridad del mensaje;

- aplicar el hashtag oficial en redes sociales; y

- conservar y remitir las evidencias mediante el formato del Anexo 3.

Importante. Esta modalidad simplifica la producción de contenidos, pero no elimina la periodicidad, la difusión ni el deber de acreditación.

7. Acreditación trimestral de campañas

Dentro de los quince (15) días hábiles siguientes a la finalización de cada trimestre, el agente obligado remitirá a la CRC el formato del Anexo 3 y los comprobantes correspondientes.

7.1. Evidencias admisibles

TIPO	EJEMPLOS	QUÉ PERMITE VERIFICAR
Publicación web	URL y captura con fecha; archivo final cuando la URL sea temporal.	Contenido, canal, fecha y disponibilidad.
Redes sociales	URL, captura fechada o reporte de publicación.	Pieza, fecha, cuenta y hashtag.
Mensajería o correo	Muestra del mensaje y constancia consolidada de envío, sin datos personales innecesarios.	Contenido, fecha, canal y destinatarios potenciales.
Canales propios	Registro del banner, portal, aplicación, factura, IVR (Interactive Voice Response) u otro canal utilizado.	Adaptación y periodo de difusión.
Planeación	Ficha, calendario o parrilla de contenidos.	Carácter articulado, sostenido y multicanal.
Métricas disponibles	Impresiones, envíos, aperturas, reproducciones o interacciones.	Alcance potencial; no constituye meta de resultado.

Las evidencias podrán presentarse mediante soportes equivalentes que permitan verificar los mismos elementos. Sin perjuicio de las funciones de vigilancia y control atribuidas al Ministerio de Tecnologías de la Información y las Comunicaciones (MinTIC), la CRC podrá solicitar aclaraciones o información complementaria, exclusivamente en el marco y para el cumplimiento de sus competencias.

8. Programas de formación interna

Cada agente obligado implementará un programa de formación interna con mínimo dos sesiones al año, una por cada semestre calendario. La formación debe ser pertinente para las funciones de los equipos y actualizarse cuando surjan amenazas o cambios relevantes.

8.1. Contenidos mínimos

- Modalidades frecuentes de fraude en telecomunicaciones, incluyendo smishing, vishing, wangiri o spoofing, entre otros, y técnicas de ingeniería social aplicadas a voz y SMS.

- Marco regulatorio vigente, obligaciones aplicables y consecuencias regulatorias y contractuales del incumplimiento.

- Procedimientos internos para detectar, reportar y gestionar incidentes de fraude.

- Canales de escalamiento hacia el validador centralizado, el Administrador de Recursos de Identificación y el Comité Técnico de Lucha contra el Fraude en Redes de Servicios Móviles (CTLFSM), según corresponda.

- Protocolos de atención al usuario, con énfasis en el trato adecuado a usuarios en condición de vulnerabilidad.

- Buenas prácticas de protección de datos personales en telecomunicaciones y mensajería A2P.

El modelo orientador del programa se encuentra en el Anexo 4. El agente obligado podrá ajustarlo a sus riesgos y estructura, siempre que mantenga los contenidos mínimos.

8.2. Cobertura por área funcional

La cobertura por área funcional se acreditará indicando las áreas o dependencias capacitadas y el número de participantes de cada una. Como mínimo deberá comprender:

- atención al usuario;

- gestión de clientes corporativos;

- operaciones de red;

- cumplimiento regulatorio; y

- áreas comerciales.

Si la organización utiliza otra denominación o integra varias funciones en una misma dependencia, podrá reportar el área equivalente y explicar brevemente la correspondencia. Cuando una función no exista en su estructura, deberá indicarlo y justificarlo en el reporte.

8.3. Personal vinculado durante el ciclo anual

El personal que se incorpore después del inicio de cada ciclo de capacitaciones anual deberá recibir la capacitación correspondiente dentro de los treinta (30) días hábiles siguientes a su vinculación. El agente obligado podrá cumplir mediante una sesión de inducción, un módulo virtual, una reposición o un mecanismo equivalente que cubra los contenidos aplicables, y conservará su evidencia.

8.4. Metodología

La formación podrá ser presencial, virtual o mixta. Se recomienda privilegiar metodologías prácticas que permitan a los equipos aplicar los conocimientos adquiridos, mediante el análisis de casos, simulaciones, pruebas controladas, ejercicios de respuesta y aplicación de los protocolos internos, de acuerdo con las funciones y los riesgos asociados a cada área. Estas actividades podrán complementarse con mecanismos de verificación de la apropiación de los conocimientos. La presente circular no establece criterios vinculantes de evaluación ni exige una metodología específica.

9. Acreditación semestral de la formación

Dentro de los quince (15) días hábiles siguientes a la finalización de cada semestre, el agente obligado remitirá el formato del Anexo 5, con indicación de:

- número de empleados capacitados;

- contenidos cubiertos;

- metodología utilizada; y

- cobertura por área funcional.

Como soporte conservará la agenda, materiales, fecha, duración, modalidad, registros de participación y certificación del responsable. La remisión deberá evitar datos personales innecesarios; podrá utilizarse información consolidada cuando sea suficiente para acreditar el cumplimiento.

En las oportunidades que la CRC determine en el marco del Comité Técnico de Lucha contra el Fraude en Redes de Servicios Móviles (CTLFSM), los agentes presentarán los comprobantes, experiencias y resultados obtenidos de sus programas de formación.

10. Canal y reglas de remisión

Los reportes y comprobantes se remitirán a través del correo electrónico:

implementacionmedidasfraude@crcom.gov.co

ELEMENTO	REGLA PROPUESTA
Formato	Anexo 3 para campañas y Anexo 5 para formación, en archivo editable o formulario equivalente habilitado por la CRC.
Soportes	Enlaces de publicación organizados por periodo y tipo de canal.
Nombre	NIT_TIPO_PERIODO_AÑO; por ejemplo: 900000000_CAMP_T1_2027.
Responsable	Persona autorizada por el agente obligado, con nombre, cargo y correo institucional.
Constancia	El canal generará radicado o confirmación de recepción. El agente obligado deberá conservarla.
Protección de información. No se deberán adjuntar bases de datos de usuarios o empleados, contenidos de comunicaciones privadas, contraseñas, códigos de autenticación ni información personal que no sea necesaria para acreditar el cumplimiento.

11. Verificación y conservación

El agente obligado deberá conservar, conforme a sus reglas documentales y a la normativa aplicable, la versión remitida, sus soportes y la constancia de recepción, de forma que pueda demostrarse la integridad y trazabilidad de la información.

La presentación del reporte no impide que la CRC solicite aclaraciones o soportes adicionales dentro de sus competencias. La aceptación técnica del envío o la generación de un radicado no constituye por sí misma declaración definitiva sobre el cumplimiento material.

12. Actualización de los lineamientos

La CRC podrá actualizar los modelos, ejemplos y orientaciones cuando las modalidades de fraude ola evidencia disponible lo ameriten. Las modificaciones no alterarán la periodicidad, los sujetos o lasobligaciones previstas en la regulación sin el instrumento jurídico correspondiente.

Para cada actualización, la CRC identificará la versión, fecha de aplicación y documentosreemplazados. Los agentes deberán utilizar la versión vigente al inicio del periodo, salvo que laactualización indique una regla de transición diferente.

13. Exigibilidad

La presente circular rige a partir de su publicación. Las fechas del primer periodo exigible sedeterminarán de acuerdo con el artículo 19 de la Resolución CRC 8308 de 2026 y se incorporarán enel Anexo 6 antes de la expedición definitiva.

La presente circular fue aprobada por el Comité de Comisionados de Comunicaciones según constaen el Acta No. 1508 del 24 de agosto de 2026, y por la Sesión de Comisión de Comunicaciones el 09de septiembre de 2026, según consta en Acta No. 508.

PAOLA VÉLEZ MARROQUÍN

Presidente

FELIPE AUGUSTO DÍAZ SUAZA

Director Ejecutivo

ANEXOS OPERATIVOS

ANEXO 1.

MODELO ORIENTADOR DE CAMPAÑA PEDAGÓGICA.

La adopción integral de este modelo permite tener por cumplido el componente de contenido. El agente obligado debe adaptar la forma, ejemplos y canales a su público y acreditar separadamente la difusión, periodicidad, sostenibilidad, multicanalidad y enfoque diferencial. El ejemplo que se propone a continuación es ilustrativo. La presente circular no predefine una agenda temática: esta es definida de manera autónoma por los agentes obligados.

Ejemplo ilustrativo
BLOQUE	MENSAJE MÍNIMO	EJEMPLO DE REDACCIÓN CLARA
1. Apertura	El fraude puede usar llamadas o mensajes para generar confianza, miedo o urgencia.	Si un mensaje o una llamada te presiona para actuar de inmediato, detente y verifica.
2. Datos personales	Los usuarios tienen derecho a la protección de sus datos. No deben entregar información confidencial por solicitudes inesperadas.	No compartas contraseñas, códigos de verificación ni datos financieros por una llamada o mensaje inesperado.
3. Modalidades	Explicar fraude por SMS y voz, incluyendo smishing, vishing, wangiri, spoofing y otras modalidades pertinentes.	Smishing: mensaje que busca llevarte a un enlace o hacerte entregar información. Vishing: llamada que usa engaños para obtener datos. Spoofing: alteración o suplantación del identificador que ves. Wangiri (del japonés “llamada y corte”) es una estafa telefónica donde delincuentes usan sistemas automáticos para hacer una llamada rápida y colgar de inmediato. El objetivo es dejar una llamada perdida en el celular de la víctima para que esta, por curiosidad, la devuelva y caiga en una línea de tarificación especial muy costosa.
4. Ingeniería social	Explicar presión, urgencia, premios, amenazas, suplantación y solicitud de secreto.	Desconfía si te piden actuar con urgencia, mantener la conversación en secreto o entregar un código.
5. Señales	Remitente inesperado, enlace extraño, solicitud de datos, pago urgente, premio no solicitado o inconsistencias.	Una sola señal no prueba el fraude, pero sí indica que debes verificar antes de actuar.
6. Acción	Detenerse, no compartir datos, no abrir enlaces dudosos, verificar por canal oficial y reportar.	Corta la llamada o cierra el mensaje. Busca tú mismo el canal oficial y confirma la solicitud.
7. Verificación	Divulgar herramientas y mecanismos disponibles sin recomendar marcas.	Puedes usar mecanismos de verificación de mensajes, enlaces o números. Consulta fuentes oficiales y evita depender de una sola herramienta.
8. Cierre	Recordatorio y ruta de orientación o reporte.	Antes de responder: detente, verifica y reporta por los canales oficiales.

Los ocho bloques definidos en este anexo –1. Apertura; 2. Datos personales; 3. Modalidades; 4. Ingeniería social; 5. Señales; 6. Acción; 7. Verificación; y 8. Cierre– conforman el modelo estándar de contenidos mínimos de la campaña pedagógica. En consecuencia, su adopción integral permite tener por cumplida la obligación en su componente de contenido.

Estos bloques establecen los asuntos mínimos que deben abordarse, pero no constituyen una lista temática cerrada ni impiden incluir contenidos adicionales pertinentes. Los ejemplos de redacción son exclusivamente ilustrativos: no corresponden a textos únicos u obligatorios y podrán adaptarse, complementarse o sustituirse por formulaciones equivalentes que comuniquen adecuadamente cada mensaje mínimo.

Cada agente obligado definirá autónomamente el desarrollo creativo, los ejemplos, el orden narrativo, los formatos y los canales de difusión, de acuerdo con las características de sus públicos. Asimismo, deberá acreditar separadamente el cumplimiento de las condiciones de periodicidad, sostenibilidad, multicanalidad y enfoque diferencial previstas en la regulación.

Guion modular sugerido^[1]

- Título sugerido: Antes de responder, detente y verifica.

- Situación: recibes un mensaje o llamada inesperada que te pide actuar de inmediato.

- Alerta: te solicitan contraseñas, códigos, datos personales, pagos o abrir un enlace.

- Decisión: no entregues información ni sigas instrucciones apresuradas.

- Verificación: busca directamente el sitio, aplicación o número oficial de la entidad.

- Reporte: informa la situación a tu proveedor y a las autoridades o entidades competentes, según corresponda.

- Cierre: una etiqueta o una herramienta ayuda, pero no reemplaza tu verificación.

ANEXO 2.

LISTA DE VERIFICACIÓN Y MATRIZ DE EQUIVALENCIA PARA CONTENIDO PROPIO.

Debe diligenciarse cuando el agente obligado utilice contenido propio. Marque “Sí”, “No aplica” con justificación o “Pendiente”.

No.	CRITERIO	ESTADO	PIEZA / ENLACE / OBSERVACIÓN
1	Explica derechos sobre datos personales.	[ ]
2	La campaña tiene un tema principal claramente definido e identifica el público al que se dirige.	[ ]
3	Las piezas comparten un mensaje principal y una recomendación clara para los usuarios.	[ ]
4	Incluye fraude por mensajes de texto y llamadas de voz.	[ ]
5	Explica técnicas de ingeniería social.	[ ]
6	Incluye señales de alerta y acciones preventivas.	[ ]
7	Divulga mecanismos de verificación sin promover proveedores.	[ ]
8	Diferencia señales de alerta de confirmaciones de fraude.	[ ]
9	Usa lenguaje claro y acciones concretas.	[ ]
10	Incluye adaptaciones para públicos vulnerables pertinentes.	[ ]
11	Los formatos son accesibles según el canal.	[ ]
12	La campaña se difundió en redes, web y demás canales disponibles.	[ ]
13	Se mantuvo un contenido disponible en la página web y se realizaron, como mínimo, cuatro publicaciones o refuerzos en total, en semanas diferentes.	[ ]
14	Usa el hashtag oficial donde resulta aplicable.	[ ]
15	No solicita ni expone datos personales innecesarios.	[ ]
16	Las afirmaciones, enlaces y canales están vigentes.	[ ]

ANEXO 3.

FORMATO TRIMESTRAL DE ACREDITACIÓN DE CAMPAÑAS.

CAMPO	INFORMACIÓN POR DILIGENCIAR
1. Agente obligado	Razón social: [-] | NIT: [-] | Tipo: PRST / asignatario A2P / ambos | Recursos asociados: [-].
2. Periodo	Año: [-] | Trimestre: T1 / T2 / T3 / T4.
3. Responsable	Nombre: [-] | Cargo: [-] | Correo institucional: [-].
4. Campaña	Nombre: [-] | Riesgo o modalidad de fraude que aborda: [-] | Público: [-] | Mensaje principal: [-] | Acción recomendada: [-].
5. Modalidad	Contenido propio / modelo CRC / difusión de contenido CRC por asignatario sin usuarios finales.
6. Contenidos	Descripción breve de los temas mínimos cubiertos y referencia a piezas.
7. Enfoque diferencial	Públicos priorizados y adaptaciones realizadas.
8. Difusión	Indique: Fecha de publicación del contenido web [-]. Periodo durante el cual estuvo disponible [-]. Fechas de las cuatro o más publicaciones o refuerzos [-]. Canales utilizados [-]. Adaptaciones realizadas para cada canal [-]. Canal directo utilizado, cuando corresponda [-]. Uso del hashtag oficial [-].
9. Evidencias	Relación numerada de URLs, capturas, archivos y registros anexos.
10. Métricas	Métricas disponibles, si existen. No constituyen meta mínima.
11. Observaciones	Limitaciones técnicas, equivalencias o información complementaria.

Certificación: Declaro que la información suministrada es íntegra y corresponde a las actividades ejecutadas por el agente obligado durante el periodo reportado.

Nombre y cargo:

Fecha:

Firma o mecanismo de autenticación:

Relación de evidencias

No.	CANAL	FECHA / PERIODO	URL O ARCHIV	QUÉ ACREDITA
1
2
3

ANEXO 4.

MODELO ESTÁNDAR DE FORMACIÓN INTERNA.

El programa puede distribuirse en una o varias actividades dentro del semestre. Debe existir al menos una sesión estructurada por semestre y cubrir el conjunto de contenidos mínimos.

MÓDULO	RESULTADO ESPERADO	CONTENIDOS	ACTIVIDAD SUGERIDA
1. Reconocer	Identifica modalidades y señales.	Smishing, vishing, spoofing, wangiri, entre otros; ingeniería social en SMS y voz.	Clasificar situaciones y señales de alerta.
2. Comprender	Ubica sus obligaciones.	Marco regulatorio, Resolución CRC 8308 de 2026 y consecuencias del incumplimiento.	Mapa de responsabilidades por rol.
3. Actuar	Aplica el procedimiento interno.	Detección, registro, contención, reporte, gestión y escalamiento.	Componente práctico desarrollado: análisis de caso, simulación, prueba controlada, ejercicio de respuesta, aplicación de protocolo u otro.
4. Atender	Orienta al usuario sin revictimizar.	Protocolos de atención, lenguaje claro y trato a usuarios vulnerables.	Caso de atención y respuesta.
5. Proteger	Maneja datos de forma adecuada.	Buenas prácticas de protección de datos personales y reserva de comunicaciones.	Lista de decisiones seguras.

Ficha de sesión formativa

CAMPO	REGISTRO
Periodo	Año [-] | Semestre S1 / S2.
Fecha, duración y modalidad
Objetivo
Facilitador o responsable
Contenidos cubiertos	Módulos:
Metodología	Exposición / caso / simulación / taller / módulo virtual / otra [-].
Áreas convocadas
Participantes	Número total [-]; registro conservado en [-].
Verificación de apropiación	Actividad utilizada, si aplica:
Materiales y evidencias

ANEXO 5.

FORMATO SEMESTRAL DE REPORTE DE FORMACIÓN.

CAMPO	INFORMACIÓN POR DILIGENCIAR
1. Agente obligado	Razón social: [-] | NIT: [-] | Tipo de agente obligado: [-].
2. Periodo	Año: [-] | Semestre: S1 / S2.
3. Responsable	Nombre: [-] | Cargo: [-] | Correo: [-].
4. Sesión o actividades	Fechas, duración y modalidad:
5. Empleados capacitados	Número total: [-]. Evitar adjuntar datos personales innecesarios.
6. Contenidos	Síntesis y referencia a los módulos del Anexo 4:
7. Metodología
8. Cobertura funcional	Diligenciar tabla siguiente.
9. Personal nuevo	Número capacitado dentro de los 30 días hábiles: [-] | Mecanismo: [-].
10. Evidencias	Relación de agenda, materiales, registros y certificaciones conservadas:
11. Observaciones

Cobertura por área funcional

ÁREA MÍNIMA	NOMBRE EQUIVALENTE EN LA ORGANIZACIÓN	No. CAPACITADOS	OBSERVACIÓN / JUSTIFICACIÓN
Atención al usuario
Gestión de clientes corporativos
Operaciones de red
Cumplimiento regulatorio
Áreas comerciales
Otras

Certificación: Declaro que el programa fue ejecutado durante el periodo informado y que los soportes se encuentran disponibles para verificación.

Nombre y cargo:

Fecha:

Firma o mecanismo de autenticación:

ANEXO 6.

CALENDARIO DE IMPLEMENTACIÓN Y CONTROL.

HITO	FECHA / REGLA	RESPONSABLE
Publicación de la Resolución CRC 8308	30 días del mes de julio de 2026.	CRC
Entrada en vigor del Capítulo 14	30 días del mes de julio de 2026.	CRC
Primer trimestre completo exigible	Cuarto trimestre de 2026 (octubre a diciembre de 2026)	Agentes obligados
Primer reporte de campaña	Dentro de los 15 días hábiles siguientes al cierre del primer trimestre completo.	Agentes obligados
Primer semestre completo exigible	Primer semestre de 2027 (enero a junio de 2027)	Agentes obligados
Primer reporte de formación	Dentro de los 15 días hábiles siguientes al cierre del primer semestre completo.	Agentes obligados
Hashtag oficial	CRC
Canal y trámite	CRC

<NOTAS DE PIE DE PÁGINA>.

1. El siguiente enlace corresponde al micrositio actualmente disponible de la CRC: ¿Quién me escribe? SMS seguros y códigos cortos. Este espacio será actualizado o se generará uno nuevo para incorporar los contenidos, orientaciones, herramientas y demás información pedagógica exigida por la Resolución CRC 8308 de 2026. Una vez finalizada la actualización o creación, el micrositio será notificado por las fuentes oficiales de la CRC para conocimiento de los interesados.

2. Nota: De conformidad con el literal a) del artículo 19 de la Resolución CRC 8308 de 2026, las obligaciones previstas en los artículos 6.14.1.3 y 6.14.1.5 son exigibles a partir del primer periodo calendario completo siguiente a su entrada en vigor. En consecuencia, la primera campaña pedagógica (artículo 6.14.1.3.) deberá desarrollarse durante el cuarto trimestre de 2026

1. El guion propuesto es una referencia ilustrativa para facilitar la construcción narrativa de las piezas. Su estructura, título y formulaciones no son únicos ni obligatorios y podrán adaptarse, complementarse o sustituirse según el formato, el público y el canal utilizado. La utilización de este guion no reemplaza el cumplimiento integral del modelo estándar de contenidos mínimos. Por tanto, la campaña deberá asegurar, en el conjunto de sus piezas, la cobertura de los ocho bloques definidos en este anexo: apertura, datos personales, modalidades de fraude, ingeniería social, señales de alerta, acciones de prevención, mecanismos de verificación y cierre. También podrán incorporarse otros contenidos pertinentes.