eSIM có an toàn không? Điều bạn thực sự cần biết

Một người bạn của tôi đã từ chối sử dụng eSIM cho chuyến đi Istanbul năm ngoái. "Tôi không tin tưởng nó," anh ấy nói. "Nếu ai đó hack điện thoại của tôi từ xa và đánh cắp số điện thoại của tôi thì sao?" Sau đó, anh ấy đã mua một chiếc SIM vật lý từ một quầy hàng ngẫu nhiên ở sân bay Ataturk, đưa hộ chiếu cho một người lạ và điền vào một mẫu đơn với địa chỉ nhà của mình trên đó.

Ông ta không nhận ra sự trớ trêu đó.

Những lo ngại về bảo mật liên quan đến eSIM là điều dễ hiểu. Đây là công nghệ mới, nó vô hình (không có thẻ vật lý để cầm nắm), và hầu hết mọi người không thực sự hiểu cách điện thoại của họ kết nối với mạng. Vì vậy, hãy cùng phân tích nó một cách đơn giản nhất mà không dùng thuật ngữ chuyên ngành.

Cơ chế bảo mật eSIM hoạt động như thế nào?

Mỗi hồ sơ eSIM được tải xuống thông qua một hệ thống gọi là SM-DP+ (đừng lo lắng về từ viết tắt). Điều quan trọng là hệ thống này sử dụng mã hóa đầu cuối giữa máy chủ và chip nhúng trong điện thoại của bạn. Hồ sơ — chứa thông tin đăng nhập của thuê bao — được mã hóa trước khi rời khỏi máy chủ và chỉ có thể được giải mã bởi phần tử bảo mật cụ thể trong thiết bị của bạn.

Yếu tố bảo mật đó là phần cứng chống giả mạo. Nó thuộc cùng loại chip lưu trữ thông tin thẻ Apple Pay hoặc dữ liệu vân tay của bạn. Không ai có thể đọc nó từ xa. Không ai có thể sao chép nó bằng cách vô tình va chạm với bạn trên tàu điện ngầm.

Thẻ SIM vật lý? Chúng sử dụng một số thuật toán mã hóa tương tự để xác thực mạng, nhưng bản thân thẻ có thể bị tháo rời, sao chép bằng thiết bị giá rẻ hoặc bị đánh tráo bởi người nào đó lợi dụng sơ hở để liên lạc với bộ phận hỗ trợ khách hàng của nhà mạng.

Tấn công hoán đổi SIM: eSIM thực sự an toàn hơn

Đánh cắp SIM là một mối đe dọa thực sự. Tội phạm gọi điện cho nhà mạng của bạn, giả vờ là bạn và chuyển số điện thoại của bạn sang SIM mới. Sau khi có được số điện thoại của bạn, chúng sẽ chặn mã xác thực hai yếu tố và rút hết tiền trong tài khoản ngân hàng của bạn. Điều này đã xảy ra với cựu CEO của Twitter. Và hàng ngàn người bình thường khác cũng đã gặp phải trường hợp tương tự.

Vấn đề là: eSIM làm cho việc này khó khăn hơn chứ không phải dễ dàng hơn . Với SIM vật lý, việc đổi SIM rất đơn giản — nhà mạng sẽ vô hiệu hóa thẻ cũ của bạn và kích hoạt thẻ mới. Với eSIM, việc chuyển thông tin đăng nhập yêu cầu xác thực thông qua nền tảng quản lý eSIM của nhà mạng, thường bao gồm các bước xác minh bổ sung.

Một số nhà mạng hiện nay cung cấp các biện pháp bảo vệ dành riêng cho eSIM: mã PIN khóa hồ sơ, xác thực sinh trắc học cho việc chuyển khoản và cảnh báo theo thời gian thực nếu ai đó cố gắng sửa đổi hồ sơ eSIM của bạn. Ví dụ, T-Mobile tại Mỹ có tính năng "Bảo vệ SIM" giúp chặn hoàn toàn các thay đổi SIM trái phép.

Quyền riêng tư: Nhà cung cấp eSIM của bạn thực sự nhìn thấy những gì?

Nhà cung cấp eSIM của bạn có thể xem được những dữ liệu mà bất kỳ nhà mạng nào cũng xem được: bạn kết nối với trạm phát sóng nào (vị trí gần đúng), bạn sử dụng bao nhiêu dữ liệu và khi nào bạn kết nối. Họ không thể xem nội dung lưu lượng truy cập được mã hóa của bạn — việc duyệt web HTTPS, tin nhắn WhatsApp, email của bạn. Đó là vấn đề giữa bạn và các trang web/ứng dụng bạn sử dụng.

SIM điện tử du lịch như TripoSIM có một lợi thế về quyền riêng tư so với nhà mạng tại quốc gia của bạn: chúng chỉ dùng cho dữ liệu và có thời hạn tạm thời. Nhà mạng tại quốc gia của bạn có tên, địa chỉ, thông tin thanh toán, số an sinh xã hội và lịch sử vị trí của bạn trong nhiều năm. Nhà cung cấp SIM điện tử du lịch chỉ có email của bạn và lịch sử sử dụng dữ liệu trong vòng 7-30 ngày. Sau đó, nó sẽ hết hạn.

Nếu quyền riêng tư là mối quan tâm hàng đầu, thì SIM điện tử du lịch có thể được coi là riêng tư hơn so với việc sử dụng dịch vụ chuyển vùng của nhà mạng trong nước, vốn ghi lại hoạt động quốc tế của bạn vô thời hạn.

Câu hỏi về mã QR

Mọi người lo lắng về việc mã QR bị đánh cắp. Điều gì sẽ xảy ra nếu ai đó chụp ảnh màn hình mã QR của bạn và sử dụng eSIM của bạn?

Sẽ không được. Mỗi mã QR chỉ dùng một lần và gắn liền với thiết bị. Sau khi bạn quét và cài đặt hồ sơ, mã QR đó sẽ không còn tác dụng nữa. Ngay cả khi ai đó có bản sao, họ cũng sẽ nhận được thông báo lỗi. Máy chủ SM-DP+ sẽ đánh dấu mã QR đó là đã được sử dụng ngay khi điện thoại của bạn hoàn tất quá trình tải xuống.

Tuy nhiên, đừng đăng mã QR của bạn lên Instagram trước khi cài đặt xong. Nguyên tắc thông thường vẫn được áp dụng.

Những rủi ro thực sự cần biết

Không có công nghệ nào là hoàn toàn chống được mọi rủi ro. Dưới đây là những rủi ro thực tế, được đánh giá đúng mức:

Điện thoại bị mất hoặc bị đánh cắp. Nếu ai đó đánh cắp điện thoại của bạn và có thể mở khóa, họ sẽ có quyền truy cập vào hồ sơ eSIM của bạn. Tương tự như SIM vật lý, ngoại trừ việc họ không thể tháo nó ra và lắp vào thiết bị khác. Hãy sử dụng mật mã mạnh. Kích hoạt tính năng Tìm iPhone của tôi hoặc Tìm thiết bị của tôi trên Google. Đây không phải là rủi ro chỉ riêng của eSIM mà là rủi ro chung của điện thoại thông minh.

Sử dụng WiFi không bảo mật trong quá trình cài đặt. Bạn cần kết nối internet để tải xuống cấu hình eSIM. Nếu bạn cài đặt khi kết nối với mạng WiFi công cộng không đáng tin cậy, về mặt lý thuyết (nhấn mạnh là lý thuyết) có nguy cơ bị tấn công trung gian (man-in-the-middle attack). Mã hóa SM-DP+ làm cho điều này cực kỳ khó xảy ra, nhưng nếu bạn lo lắng, hãy cài đặt qua WiFi tại nhà hoặc dữ liệu di động hiện có trên điện thoại của bạn. Không cài đặt khi kết nối với "WIFI_SÂN BAY_MIỄN_PHÍ_HOÀN_ĐÁNG_BÁO_LỢI".

Lừa đảo trực tuyến (Phishing). Ai đó có thể gửi cho bạn một email giả mạo "eSIM của bạn đã sẵn sàng" kèm theo mã QR độc hại. Điều này sẽ không cài đặt phần mềm độc hại — hệ thống eSIM trên điện thoại của bạn chỉ chấp nhận các cấu hình nhà mạng hợp lệ — nhưng bạn sẽ lãng phí thời gian và có thể chia sẻ thông tin cá nhân trên một trang thanh toán giả mạo. Chỉ quét mã QR từ trang web hoặc email chính thức của nhà cung cấp eSIM của bạn.

Kết luận trung thực

eSIM có độ bảo mật ít nhất cũng tương đương với SIM vật lý, và ở một số khía cạnh quan trọng, nó còn an toàn hơn. Mã hóa mạnh mẽ. Phần cứng chống giả mạo. Các cuộc tấn công hoán đổi SIM khó thực hiện hơn. Mã QR chỉ sử dụng một lần.

Bạn tôi, người đã mua SIM vật lý ở sân bay Istanbul? SIM của cậu ấy ngừng hoạt động sau hai ngày và cậu ấy không biết phải làm sao vì người bán ở quầy đã đi mất. Cậu ấy đã dùng điểm phát Wi-Fi eSIM của tôi cho đến hết chuyến đi. Giờ cậu ấy đã hoàn toàn chuyển sang dùng eSIM rồi.

Nếu bạn vẫn còn lo lắng, hãy bắt đầu với một chuyến đi ngắn. Mua gói dịch vụ 7 ngày, thử nghiệm xem sao. Bạn sẽ tự hỏi tại sao mình lại từng lo lắng.