eSIM安全嗎？你真正需要知道的安全與隱私

我的一個朋友去年去伊斯坦堡旅行時拒絕使用eSIM。 「我不信任它，」他說，「萬一有人遠程黑了我的手機，盜走了我的號碼怎麼辦？」於是，他在阿塔圖爾克機場隨便找了個小亭子買了張實體SIM卡，把護照交給一個陌生人，然後填寫了一張寫有家庭住址的表格。

他完全沒有意識到其中的諷刺意味。

人們對eSIM 的安全擔憂是可以理解的。它是一項較新的技術，而且是隱形的（沒有實體卡片可以拿在手裡），大多數人根本不了解手機是如何連接到網路的。所以，讓我們拋開專業術語，用簡單易懂的方式解釋。

eSIM 安全機制的實際運作原理

每個eSIM 設定檔都是透過名為SM-DP+ 的系統下載的（不必擔心這個縮寫）。重要的是，該系統在伺服器和您手機的嵌入式晶片之間使用端對端加密。包含您使用者憑證的設定檔在離開伺服器之前會被加密，並且只能由您裝置中的特定安全元件解密。

這個安全元件是防篡改硬體。它與儲存您的Apple Pay 卡資訊或指紋資料的晶片屬於同一類型。沒有人可以遠端讀取它。也沒有人可以透過在地鐵上與您碰撞來複製它。

實體SIM 卡？它們使用一些相同的加密技術進行網路認證，但卡片本身可以被物理移除、用廉價設備克隆，或者被透過社交工程手段聯繫營運商客服熱線的人取代。

SIM卡交換攻擊：eSIM其實更安全

SIM卡交換是一個真實存在的威脅。犯罪者會致電您的電信商，冒充您本人，並將您的號碼轉移到新的SIM卡。一旦他們掌握了您的號碼，就能攔截雙因素認證碼，並盜取您的銀行帳戶。 Twitter前CEO就曾遭遇過這種情況，成千上萬的普通人也曾受其害。

問題在於：eSIM 讓換卡變得更難，而不是更容易。使用實體SIM 卡時，換卡很簡單——運營商只需停用舊卡並啟動新卡即可。而使用eSIM 時，資訊轉移需要透過營運商的eSIM 管理平台進行身份驗證，這通常涉及額外的驗證步驟。

現在有些業者提供專門針對eSIM 的安全保護措施：例如設定檔鎖定PIN 碼、用於轉帳的生物辨識驗證，以及在有人試圖修改您的eSIM 設定檔時發出即時警報。例如，美國的T-Mobile 提供的「SIM 卡保護」功能可以完全阻止未經授權的SIM 卡更改。

隱私：您的eSIM 供應商究竟能看到什麼？

您的eSIM 供應商可以看到與任何電信業者相同的資料：您連接到哪些基地台（大致位置）、您使用了多少資料以及您的連線時間。但他們無法看到您加密流量的內容——例如您的HTTPS 瀏覽、WhatsApp 訊息和電子郵件。這些內容只存在於您和您使用的網站/應用程式之間。

像TripoSIM這樣的旅行eSIM 卡相比你的家庭運營商eSIM 卡，在隱私方面有一個優勢：它們僅用於數據傳輸，且為臨時性服務。你的家庭運營商會保存你的姓名、地址、付款資訊、社保號碼以及多年的位置記錄。而旅行eSIM 卡提供者只會保存你的郵件地址和7-30 天的資料使用記錄，之後便會過期。

如果隱私是首要考慮因素，那麼旅行eSIM 無疑比使用國內業者的漫遊服務更能保護隱私，因為漫遊服務將無限期地記錄您的國際活動。

QR 圖碼問題

人們擔心二維碼被攔截。如果有人截圖你的二維碼並使用你的eSIM卡怎麼辦？

行不通。每個二維碼都是一次性的，並且與特定設備綁定。一旦您掃描並安裝了配置文件，該二維碼就失效了。即使有人有備份，也會收到錯誤提示。 SM-DP+ 伺服器會在您的手機完成下載的那一刻將其標記為已使用。

話雖如此，安裝前還是不要把二維碼發佈到Instagram 上。常識依然適用。

值得了解的真正風險

沒有任何技術是絕對萬無一失的。以下是經過正確評估的實際風險：

手機遺失或被竊。如果有人偷走了你的手機並解鎖，他們就能存取你的eSIM 資訊。這與實體SIM 卡類似，只是他們無法將其取出並插入其他設備。請使用強密碼。啟用「尋找我的iPhone」或「尋找我的裝置」功能。這並非eSIM 特有的風險，而是智慧型手機普遍存在的風險。

安裝過程中會使用不安全的Wi-Fi 網路。您需要網路連線來下載eSIM 設定檔。如果您在連接到不安全的公共Wi-Fi 網路時進行安裝，理論上（強調是理論上）存在中間人攻擊的風險。 SM-DP+ 加密技術使得這種情況發生的可能性極低，但如果您仍然擔心，請使用家中的Wi-Fi 網路或手機的行動數據進行安裝。切勿在連接到「完全合法的免費機場Wi-Fi」網路時進行安裝。

網路釣魚。有人可能會向您發送偽造的「您的eSIM 已準備就緒」的電子郵件，其中包含惡意二維碼。雖然這不會安裝惡意軟體——您手機的eSIM 系統只接受有效的運營商配置檔案——但您會浪費時間，並可能在虛假的結帳頁面上洩露個人資訊。請僅掃描來自您eSIM 提供者網站或電子郵件中的二維碼。

誠實的底線

eSIM 的安全性至少與實體SIM 卡相當，並且在幾個重要方面更勝一籌。其加密強度更高，硬體具有防篡改功能，SIM 卡交換攻擊更難得逞，二維碼也是一次性的。

我朋友在伊斯坦堡機場買了張實體SIM卡，結果兩天後就不能用了，而且售卡亭的人也走了，他也沒辦法解決。剩下的旅程他都用我的eSIM熱點。現在他徹底愛上eSIM了。

如果你還是不放心，那就先來一趟短途旅行。買個7天的行程單，試試看，看看效果如何。你會覺得之前的擔心都是多餘的。