En resumen
Una eSIM es un chip integrado en tu teléfono, así que un ladrón no puede sacarla, lo que significa que un teléfono robado suele seguir conectado y se puede localizar, bloquear o borrar a distancia. Aun así, los estafadores pueden intentar quedarse con tu número, casi siempre convenciendo a tu operador de pasarlo a una SIM que ellos controlan (un SIM swap) o enviándote un enlace falso de activación de eSIM que lo pasa a su teléfono. Configura un PIN con tu operador, usa una app de autenticación en lugar de códigos por SMS e instala una eSIM solo desde la app o el sitio web de tu proveedor para mantenerte protegido.
Qué es una eSIM y cómo está protegida
El nombre técnico de una eSIM es eUICC, siglas en inglés de "tarjeta de circuito integrado universal embebida". Es un pequeño chip resistente a manipulaciones que ya viene soldado en tu teléfono y, a diferencia de la SIM de plástico, no queda atado de por vida a un solo operador (tu compañía telefónica o un proveedor de eSIM). Puede guardar varios perfiles de operador y descargar perfiles nuevos en segundos.
Esa descarga es el aprovisionamiento remoto de SIM, el proceso definido en las especificaciones de eSIM de la GSMA. Antes de que algo llegue a tu teléfono, el dispositivo y el servidor de aprovisionamiento del operador intercambian certificados y se verifican mutuamente, y luego el perfil se cifra para ese chip en concreto. Se guarda en el elemento seguro, una zona protegida del chip que el resto del software del teléfono no puede leer.
Investigadores de la Universidad Aalto modelaron el protocolo de descarga de la eSIM y buscaron formas en que un atacante pudiera entrar. Según los resultados publicados por la GSMA, el protocolo está adecuadamente protegido contra hackers. Las debilidades que encontró el análisis suponen todas que el servidor de aprovisionamiento o el chip ya estaban comprometidos antes de la descarga.
eSIM y SIM física: qué cambia y qué no
Qué pasa | SIM física | eSIM |
|---|---|---|
Alguien roba el teléfono y pone la SIM en su propio dispositivo | Posible, la tarjeta se saca | Imposible, el chip está soldado |
Clonar la tarjeta con acceso físico | Un ataque conocido en tarjetas antiguas | No hay tarjeta que sacar ni copiar |
Protección con PIN de la SIM | Sí | Sí, si el teléfono lo admite |
Se borra al restablecer el teléfono | Solo si sacas la tarjeta | Se borra en ajustes o se conserva a propósito |
Pasar a un teléfono nuevo | Cambias la tarjeta | Transfieres el perfil |
Tu número y tu cuenta del operador | Sin cambios | Sin cambios |
La red a la que se conecta tu teléfono | Sin cambios | Sin cambios |
El cifrado de tu tráfico | Sin cambios | Sin cambios |
La FCC resume la diferencia práctica con claridad en su guía sobre eSIM: una eSIM no se puede robar sin robar el teléfono. Las SIM físicas, en cambio, sí se sacan de teléfonos perdidos y se usan para robar datos personales y tu número.
¿Están las eSIM a salvo del SIM swapping, el phishing y otras estafas?
Una eSIM no puede frenar estas estafas, y una SIM física tampoco, porque apuntan a tus cuentas y no a tu teléfono.
SIM swapping
En un SIM swap, un estafador se hace pasar por ti y convence a tu operador, casi siempre a través de atención al cliente, de pasar tu número a una SIM que él controla. A partir de ese momento, tus llamadas y mensajes le llegan a él, incluidos los códigos de un solo uso de tu banco y tu correo.
"Un ladrón que se lleva tu teléfono puede sacar una SIM física, ponerla en otro teléfono y empezar a recibir tus llamadas y los códigos por SMS para entrar al banco, la verificación en dos pasos y el restablecimiento de contraseñas. Con una eSIM, el perfil queda bloqueado en el hardware seguro del teléfono. Como el ladrón no puede quitar la eSIM, el teléfono suele seguir conectado a la red, así que Buscar mi iPhone o Encontrar mi dispositivo todavía pueden localizarlo, bloquearlo o borrarlo. Sacar la SIM física suele ser lo primero que hace un ladrón para dejar el teléfono sin conexión."
Asım Alp, cofundador y CTO de Roamless (más de 15 años en telecomunicaciones)
También hay una versión dirigida directamente a quienes usan eSIM. Los estafadores se hacen pasar por tu operador, te llaman o te escriben con un enlace para "activar" una eSIM, y al hacer clic tu número pasa a su teléfono.
Lo que tu operador debe verificar antes de mover tu número depende de dónde vivas:
Dónde | Qué dicen las normas |
|---|---|
Estados Unidos | La FCC aprobó normas en 2023 que obligan a los operadores a verificar tu identidad de forma segura antes de mover tu número y a avisarte cuando alguien lo intente. En julio de 2024 los operadores recibieron más tiempo para cumplirlas. |
Australia | Desde el 30 de junio de 2022, las telecos deben usar verificaciones de varios factores, como tus datos personales más un código de un solo uso, antes de un cambio de SIM. También deben guardar registros de esas verificaciones durante al menos un año. |
Canadá | La CRTC pidió datos a los operadores sobre cambios de SIM y portabilidades no autorizadas, en 2020 y de nuevo en 2023. En julio de 2026 cambió el proceso de portabilidad para que un operador nuevo no pueda activar tu número hasta que el anterior confirme el cambio. |
Reino Unido | Ninguna norma del regulador se centra en el SIM swapping. En su lugar, las redes móviles firmaron con el gobierno una carta contra el fraude en noviembre de 2025, con el compromiso de aplicar prácticas comunes contra el robo de cuentas, como la autenticación en dos pasos antes de transferir una cuenta. |
Unión Europea | No hay una norma para toda la UE, aunque algunos países, como Italia, tienen la suya. |
Estés donde estés, pregúntale a tu operador qué verifica antes de pasar tu número a un dispositivo nuevo.
Phishing
Muchas estafas empiezan con phishing. Los estafadores envían correos y mensajes que parecen venir de una empresa en la que confías, como tu banco o tu operador, para conseguir tus contraseñas o los datos de tu cuenta. Quienes hacen SIM swapping también usan phishing con el personal de los operadores para acceder a tu cuenta (FBI).
Estafas con IA
La IA hace aún más fácil suplantar a alguien. Ha habido casos de delincuentes que usaron voces clonadas para entrar en cuentas bancarias y documentos de identidad falsos generados con IA para superar verificaciones de identidad (FBI).
Para protegerte de todas estas estafas:
Configura un PIN o una contraseña en tu cuenta del operador y nunca se la des a nadie que te llame para pedírtela.
Pregunta si tu operador ofrece bloqueo de número o bloqueo de portabilidad, y actívalo.
Usa una app de autenticación en lugar de códigos por SMS siempre que puedas, y guarda los códigos de respaldo en un lugar al que llegues sin tu teléfono.
No abras enlaces de mensajes que no esperabas. Entra tú mismo en la app o el sitio web de la empresa.
Si una llamada te pide dinero o un código, cuelga y vuelve a llamar a un número que busques tú.
Acuerda con tu familia una palabra o pregunta secreta para comprobar que de verdad son ellos al teléfono.
¿Se puede hackear una eSIM?
En teoría sí, pero el único ataque publicado contra un chip eSIM de consumo necesitó que los atacantes tuvieran el chip en sus manos.
En 2025, el laboratorio de investigación Security Explorations vulneró un chip eSIM de Kigen a través de un perfil de prueba y extrajo la clave que identifica al chip, lo que le permitió descargar perfiles eSIM de operadores móviles.
Pero repetir un ataque así exigiría tener tanto el chip como los códigos de acceso del perfil de prueba, y desde entonces se han tomado medidas para hacerlo aún más difícil. Kigen corrigió la falla y la GSMA cambió sus normas para bloquear esa misma vía.
Qué puede ver tu proveedor de eSIM
Una eSIM de viaje es un producto de roaming. Tus datos viajan por una red local bajo un acuerdo de roaming y tu proveedor los enruta, lo que le da la misma visibilidad que tiene cualquier operador móvil sobre cualquier cliente:
Qué antenas usaste
Más o menos cuándo y dónde
Cuántos datos consumiste
A qué servidores te conectaste
Lo que no ve es el contenido, que viaja cifrado entre tu teléfono y la app o el sitio que usas. Tu operador de siempre tiene exactamente la misma visibilidad si usas sus planes internacionales de roaming.
Usar una eSIM para el banco y la verificación en dos pasos
Las eSIM de viaje son solo de datos: no incluyen número de teléfono y no pueden recibir llamadas normales ni códigos por SMS.
Si quieres que el banco y los códigos de un solo uso (OTP) sigan funcionando en el extranjero:
Mantén activa tu SIM de siempre con el roaming de datos desactivado, para que los mensajes y los códigos sigan llegando a tu número habitual sin cargos de roaming.
Configura la eSIM de viaje como línea de datos móviles.
Pasa tus cuentas importantes a una app de autenticación antes de viajar y guarda los códigos de respaldo.
Avísale a tu banco que vas a viajar si ofrece esa opción, porque un inicio de sesión desde un país desconocido puede provocar un bloqueo.
Si quieres recibir llamadas y códigos por SMS en cualquier lugar, en casa o en el extranjero, también puedes conseguir un número de teléfono que no necesita SIM física ni eSIM.
Para la sesión bancaria en sí, usa datos móviles en lugar de WiFi pública. El WiFi de aeropuertos y hoteles es compartido, nadie lo gestiona y es fácil de imitar. El tráfico móvil va cifrado entre tu teléfono y los equipos del operador, y no hay una red compartida a la que otra persona pueda unirse.
Cómo elegir un proveedor de eSIM confiable
Tan importante como la seguridad técnica es cuánto puedes confiar en un proveedor de eSIM. Eso suele depender de que sea transparente y justo con lo que te cobra y con los datos que recopila. Empieza por revisar si el proveedor de eSIM:
Te dice qué redes locales usa. La cobertura y la velocidad dependen de la red, así que eso es lo que realmente pagas.
Es claro sobre los límites de velocidad y de uso razonable, para que no te encuentres con datos más lentos a mitad del viaje sin aviso.
Deja claro cuándo vencen tus datos. Si no, podrías perder datos que ya pagaste.
Ofrece una atención al cliente fácil de contactar y una política de reembolso clara, por si tu eSIM no se instala o no se conecta.
Vende directamente en su propio sitio web o app. Así tu código QR es nuevo y viene con el soporte del proveedor.
Solo pide los permisos de la app que necesita, porque cualquier permiso extra significa que recopila datos que no necesita.
Si a un proveedor de eSIM le cuesta mostrarte esta información, considera buscar otro.
Una eSIM global para donde estés
Una eSIM global de Roamless cubre más de 200 destinos: la instalas una vez y sigue funcionando mientras cruzas fronteras. Como tus Créditos nunca vencen, los datos que compras están listos cuando los necesites, en casa o en tu próximo viaje.
Preguntas frecuentes sobre la seguridad de la eSIM
¿Se pueden hackear las eSIM?
Técnicamente es posible hackear una eSIM, pero es muy poco probable que te pase a ti. El único hackeo publicado de un chip eSIM de consumo, hecho por el laboratorio Security Explorations en 2025, necesitó el chip en manos de los atacantes y un conjunto de códigos de acceso. El fabricante del chip, Kigen, ya publicó un parche (Security Explorations, Kigen). Los riesgos reales son las estafas que apuntan a tus cuentas, como el SIM swapping y el phishing, que funcionan igual con una eSIM que con una SIM física.
¿Se puede clonar una eSIM?
No en un uso normal. Cuando una eSIM se descarga, se cifra para el chip específico de tu teléfono. En el único caso publicado en que unos investigadores copiaron perfiles eSIM, primero tuvieron que vulnerar un chip que tenían físicamente en sus manos (Security Explorations).
¿Se puede rastrear una eSIM?
No más que una SIM física. Cualquier teléfono encendido y conectado a una red móvil puede ser ubicado de forma aproximada por el operador a partir de las antenas que usa, tenga el tipo de SIM que tenga (EFF).
¿Es segura una eSIM para la banca en línea?
Sí, y la conexión móvil es más segura que el WiFi público para eso. Una eSIM de viaje solo de datos no puede recibir códigos por SMS, así que mantén disponible tu línea de siempre o pasa tus cuentas a una app de autenticación antes de viajar.
¿Hay alguna razón para no usar una eSIM?
Tres razones prácticas. Si tu teléfono deja de funcionar, no puedes pasar un chip a un teléfono de repuesto como harías con una tarjeta. Algunos perfiles limitan cuántas veces se pueden reinstalar. Y en unos pocos países es complicado comprarla una vez que estás allí.
¿En qué países no se permiten las eSIM?
Las eSIM funcionan en la mayoría de los países, pero algunos limitan cómo comprarlas o usarlas. En Turquía están bloqueados los sitios web y las apps de muchos proveedores internacionales de eSIM. Aun así, las eSIM de viaje se conectan a través de redes locales, así que una que ya instalaste antes de llegar a Turquía funciona con normalidad. En Rusia, según se ha informado, los datos móviles de las SIM extranjeras, incluidas las eSIM, se cortan durante 24 horas después de tu llegada. Y los teléfonos vendidos en China continental recién recibieron soporte para eSIM en octubre de 2025, así que si compraste el tuyo allí, revisa que sea compatible con eSIM.
¿Qué pasa con mi eSIM si pierdo o me roban el teléfono?
El perfil no se puede sacar del teléfono, y un borrado remoto lo elimina junto con todo lo demás, aunque puedes elegir conservar la eSIM al restablecer el teléfono. Llama también a tu operador para suspender la línea, porque la cuenta es lo que buscaría un atacante.
¿Mi proveedor de eSIM puede ver lo que navego?
Ve lo mismo que cualquier operador móvil: volúmenes, horarios, ubicación aproximada y a qué servidores te conectaste. No ve el contenido, que viaja cifrado entre tu teléfono y el sitio. Tu operador de siempre ve lo mismo cuando haces roaming.
¿Es una eSIM más segura que una SIM física?
Frente al robo físico, sí, porque no hay tarjeta que sacar. En todo lo demás son iguales, porque lo que se ataca es tu cuenta del operador y tus contraseñas, y eso no cambia cuando cambia la tarjeta.
Glosario
eUICC: el chip integrado donde vive la eSIM. El hardware.
Elemento seguro: la parte protegida de ese chip donde se guardan las credenciales, aislada del resto del software del teléfono.
Perfil eSIM: las credenciales del operador que se descargan en el chip. Lo que convierte a tu teléfono en cliente de una red concreta.
Aprovisionamiento remoto de SIM: el proceso definido por la GSMA para entregar un perfil de forma inalámbrica.
IMSI: la identidad de suscriptor que usa la red para dirigir tus llamadas y mensajes. Lo que mueve un SIM swap.
SM-DP+: el servidor de aprovisionamiento del operador, la dirección a la que se conecta tu teléfono para obtener un perfil.
TOTP: el código rotativo de seis dígitos de una app de autenticación, y la razón por la que resiste el SIM swapping mejor que un SMS.
