eSIMは安全？セキュリティとリスク、確認すべきポイント

まとめ

eSIMはスマホに組み込まれたチップなので、泥棒が取り出すことはできません。そのため、盗まれたスマホは通常ネットワークにつながったままで、遠隔で位置の確認、ロック、消去ができます。それでも詐欺師は、あなたの番号を乗っ取ろうとすることがあります。多いのは、キャリアを説得して自分たちが管理するSIMに番号を移させる手口（SIMスワップ）や、番号を自分たちのスマホに移してしまう偽のeSIM有効化リンクを送りつける手口です。身を守るには、キャリアでPINを設定し、SMSコードではなく認証アプリを使い、eSIMはプロバイダー自身のアプリやウェブサイトからのみインストールしましょう。

eSIMとは何か、どう守られているのか

eSIMの技術的な名称はeUICCで、「embedded universal integrated circuit card（組み込み型汎用ICカード）」の略です。スマホにあらかじめはんだ付けされた、改ざんに強い小さなチップで、プラスチックのSIMとは違い、ひとつの事業者（通信キャリアやeSIMプロバイダー）にずっと縛られることはありません。複数の事業者プロファイルを保存でき、新しいプロファイルを数秒でダウンロードできます。

このダウンロードの仕組みがリモートSIMプロビジョニングで、GSMAのeSIM仕様で定められています。スマホに何かが届く前に、端末と事業者のプロビジョニングサーバーが証明書を交換して互いを確認し、そのうえでプロファイルはその1枚のチップ専用に暗号化されます。プロファイルは、スマホのほかのソフトウェアからは読み取れないチップ内の保護領域、セキュアエレメントに保存されます。

アールト大学の研究者は、eSIMのダウンロードプロトコルをモデル化し、攻撃者が侵入できる方法を探しました。GSMAが公開した結果によると、このプロトコルはハッカーに対して十分に保護されています。分析で見つかった弱点は、いずれもダウンロード前にプロビジョニングサーバーかチップがすでに侵害されていることが前提でした。

eSIMと物理SIM：変わること、変わらないこと

FCCはeSIMガイドで、実際の違いをわかりやすく示しています。eSIMはスマホごと盗まない限り盗めません。一方、物理SIMは紛失したスマホから実際に抜き取られ、個人情報や電話番号を盗むのに使われています。

eSIMはSIMスワップやフィッシングなどの詐欺から安全？

eSIMではこうした詐欺は防げませんが、物理SIMでも防げません。狙われるのはスマホではなく、あなたのアカウントだからです。

SIMスワップ

SIMスワップでは、詐欺師があなたになりすまし、主にカスタマーサポートを通じてキャリアを説得し、あなたの番号を自分が管理するSIMに移させます。それ以降、銀行やメールのワンタイムコードを含め、あなたの電話やSMSは詐欺師に届くようになります。

「スマホを盗んだ泥棒は、物理SIMを抜いて別のスマホに挿し、銀行のログインや2段階認証、パスワードのリセットに使う電話やSMSコードを受け取れるようになります。eSIMなら、プロファイルはスマホのセキュアなハードウェアに固定されています。泥棒はeSIMを取り外せないので、スマホは通常ネットワークにつながったままになり、iPhoneを探す（Find My iPhone）やデバイスを探す（Find My Device）で位置の確認、ロック、消去ができます。泥棒がスマホをオフラインにするために最初にすることは、物理SIMを抜くことである場合が多いのです」

Asım Alp（Roamless共同創業者兼CTO、通信業界で15年以上の経験）

eSIMユーザーを直接狙う手口もあります。キャリアを装った詐欺師が、eSIMを「有効化」するためのリンクを電話やSMSで送り、そのリンクをクリックすると、あなたの番号が詐欺師のスマホに移ってしまいます。

キャリアが番号を移す前にどこまで確認しなければならないかは、住んでいる国や地域によって異なります。

どこに住んでいても、番号を新しい端末に移す前に何を確認しているのか、キャリアに聞いてみましょう。

フィッシング

多くの詐欺はフィッシングから始まります。詐欺師は、銀行やキャリアなど信頼している企業からのように見えるメールやSMSを送り、パスワードやアカウント情報を聞き出そうとします。SIMスワップを行う詐欺師は、あなたのアカウントにアクセスするためにキャリアのスタッフにもフィッシングを仕掛けます（FBI）。

AIを使った詐欺

AIによって、なりすましはさらに簡単になっています。犯罪者がクローン音声を使って他人の銀行口座に入り込んだり、AIで作った偽の身分証で本人確認を通過したりした事例があります（FBI）。

こうした詐欺から身を守るために：

• キャリアのアカウントにPINやパスコードを設定し、電話で尋ねてくる相手には決して教えないでください。

• キャリアに番号ロックや転出（MNP）ロックがあるか確認し、あればオンにしましょう。

• できる限りSMSコードではなく認証アプリを使い、バックアップコードはスマホがなくても取り出せる場所に保管しましょう。

• 心当たりのないメッセージのリンクは開かないでください。企業のアプリやウェブサイトに自分でアクセスしましょう。

• 電話でお金やコードを求められたら、いったん切って、自分で調べた番号にかけ直しましょう。

• 家族と合言葉や秘密の質問を決めておき、電話の相手が本当に家族か確認できるようにしましょう。

eSIMはハッキングされる？

理論上はハッキングされる可能性がありますが、一般向けeSIMチップに対して公表されている唯一の攻撃は、攻撃者がチップを手元に持っていることが前提でした。

2025年、研究機関のSecurity ExplorationsがKigen製のeSIMチップに侵入しました。テスト用プロファイルを通じてチップを識別する鍵を取り出し、それを使って携帯キャリアのeSIMプロファイルをダウンロードできたのです。

ただし、同じ攻撃を再現するには、チップとテスト用プロファイルのアクセスコードの両方が必要で、その後さらに難しくするための対策も取られています。Kigenは脆弱性を修正し、GSMAも同じ経路をふさぐようルールを変更しました。

eSIMプロバイダーに見えるもの

旅行用eSIMはローミング製品です。データはローミング契約にもとづいて現地のネットワークを通り、プロバイダーがそれを中継します。そのため、プロバイダーにはどの携帯キャリアにも見えるのと同じ情報が見えます。

• どの基地局を使ったか

• おおよその時間と場所

• どれだけのデータを使ったか

• どのサーバーに接続したか

一方、通信の中身は見えません。中身はスマホと、利用しているアプリやサイトとの間で暗号化されているからです。普段使っているキャリアの海外ローミングプランを使う場合も、キャリアに見える範囲はまったく同じです。

銀行アプリや2段階認証にeSIMを使う

旅行用eSIMはデータ専用なので、電話番号がなく、通常の通話やSMSコードは受け取れません。

海外でも銀行アプリやワンタイムパスワード（OTP）を使い続けたい場合は、次のようにしましょう。

• 普段のSIMを有効にしたまま、データローミングをオフにします。そうすれば、ローミング料金をかけずに、SMSやワンタイムコードをいつもの番号で受け取れます。

• 旅行用eSIMをモバイルデータ通信の回線に設定します。

• 出発前に、重要なアカウントを認証アプリに切り替え、バックアップコードを保存します。

• 銀行が対応していれば、旅行することを伝えておきましょう。見慣れない国からのログインでロックがかかることがあるためです。

• 自宅でも海外でも、どこでも電話やSMSコードを受け取りたいなら、物理SIMもeSIMも必要ない電話番号を手に入れる方法もあります。

銀行の操作そのものは、公共WiFiではなくモバイルデータで行いましょう。空港やホテルのWiFiは共有で、誰も管理しておらず、偽装も簡単です。モバイル通信はスマホとキャリアの設備の間で暗号化されており、ほかの人が参加できる共有ネットワークもありません。

信頼できるeSIMプロバイダーの選び方

技術的なセキュリティと同じくらい大切なのが、eSIMプロバイダーをどこまで信頼できるかです。それは多くの場合、料金や収集するデータについて、プロバイダーが透明で公正かどうかにかかっています。まずは、eSIMプロバイダーが次の点を満たしているか確認しましょう。

• どの現地ネットワークを使っているかを公開している。エリアや速度はネットワーク次第なので、実際にお金を払っているのはこの部分です。

• 速度制限やフェアユースの上限をはっきり示している。旅行の途中で、予告なくデータが遅くなる事態を避けられます。

• データの有効期限を明確にしている。そうでないと、支払い済みのデータを失うおそれがあります。

• 連絡しやすいカスタマーサポートと、わかりやすい返金ポリシーがある。eSIMがインストールできない、つながらない場合に備えられます。

• 自社のウェブサイトやアプリで直接販売している。QRコードが新品で、プロバイダーのサポートも受けられます。

• 必要なアプリの権限だけを求めている。それ以上を求めるのは、不要なデータを集めているということです。

こうした情報が見つけにくいeSIMプロバイダーなら、ほかを検討しましょう。

どこにいてもひとつのグローバルeSIM

RoamlessのグローバルeSIMは200以上の渡航先に対応しているので、一度インストールすれば国境を越えても使い続けられます。クレジットに有効期限はないため、購入したデータは自宅でも次の旅行でも、必要なときにいつでも使えます。

eSIMのセキュリティに関するよくある質問

eSIMはハッキングされますか？

技術的にはeSIMをハッキングすることは可能ですが、あなたが被害に遭う可能性はきわめて低いです。一般向けeSIMチップのハッキングとして公表されている唯一の例は、2025年に研究機関Security Explorationsが行ったもので、攻撃者がチップを手元に持ち、さらに一連のアクセスコードを入手していることが前提でした。チップメーカーのKigenはその後パッチを公開しています（Security Explorations、Kigen）。本当のリスクは、SIMスワップやフィッシングのようにアカウントを狙う詐欺で、これらはeSIMでも物理SIMでも同じように起こります。

eSIMは複製できますか？

通常の使い方ではできません。eSIMはダウンロード時に、あなたのスマホの1枚のチップ専用に暗号化されます。研究者がeSIMプロファイルを複製した公表済みの唯一の事例でも、まず手元にあるチップに侵入する必要がありました（Security Explorations）。

eSIMは追跡されますか？

物理SIMと変わりません。電源が入っていてモバイルネットワークに接続しているスマホは、SIMの種類にかかわらず、使っている基地局からキャリアがおおよその位置を把握できます（EFF）。

eSIMでネットバンキングをしても安全ですか？

はい。しかも、公共WiFiよりモバイル回線のほうが安全です。データ専用の旅行用eSIMではSMSコードを受け取れないので、普段の回線をつながる状態にしておくか、出発前にアカウントを認証アプリに切り替えておきましょう。

eSIMを使わないほうがいい理由はありますか？

実用面で3つあります。スマホが壊れたとき、カードのようにチップを予備の端末へ移すことはできません。プロファイルによっては、再インストールできる回数に上限があります。また、現地に着いてからだと購入しにくい国が一部あります。

eSIMが使えない国はどこですか？

eSIMはほとんどの国で使えますが、購入方法や使い方を制限している国もあります。トルコでは、多くの海外eSIMプロバイダーのウェブサイトやアプリがブロックされています。ただし旅行用eSIMは現地のネットワーク経由でつながるので、トルコに着く前にインストールしておけば通常どおり使えます。ロシアでは、eSIMを含む外国のSIMのモバイルデータが、到着後24時間止まると報じられています。また、中国本土で販売されたスマホがeSIMに対応したのは2025年10月からなので、中国で購入したスマホならeSIM対応かどうか確認しましょう。

スマホを紛失したり盗まれたりしたら、eSIMはどうなりますか？

プロファイルを端末から取り出すことはできず、リモートで消去するとほかのデータと一緒に消えます。ただし、スマホを初期化するときにeSIMを残すことも選べます。攻撃者が狙うのはアカウントなので、キャリアにも連絡して回線を停止してもらいましょう。

eSIMプロバイダーに閲覧内容は見えますか？

見えるのは、どの携帯キャリアでも見える情報、つまり通信量、時間、おおよその位置、接続したサーバーです。中身はスマホとサイトの間で暗号化されているので見えません。ローミング中は、普段使っているキャリアにも同じ範囲が見えます。

eSIMは物理SIMより安全ですか？

盗難に対しては、取り出せるカードがないぶん安全です。それ以外の点では同じです。攻撃されるのはキャリアのアカウントとパスワードで、それはカードが変わっても変わらないからです。

用語集

eUICC：eSIMが格納されている組み込みチップ。ハードウェアのこと。

セキュアエレメント：チップ内で認証情報が保存される保護領域。スマホのほかのソフトウェアから隔離されています。

eSIMプロファイル：チップにダウンロードされる事業者の認証情報。スマホを特定のネットワークの契約者にするものです。

リモートSIMプロビジョニング：プロファイルを無線で配信するためにGSMAが定めた仕組み。

IMSI：ネットワークが通話やSMSを届けるために使う加入者識別番号。SIMスワップで移されるのはこれです。

SM-DP+：事業者のプロビジョニングサーバー。スマホがプロファイルを取得するために接続する宛先です。

TOTP：認証アプリに表示される、一定時間ごとに変わる6桁のコード。SMSよりSIMスワップに強い理由はここにあります。