In het kort
Een eSIM is een chip die in je telefoon is ingebouwd, dus een dief kan hem er niet uit halen. Daardoor blijft een gestolen telefoon meestal verbonden en kun je hem op afstand lokaliseren, vergrendelen of wissen. Oplichters kunnen nog steeds proberen je nummer over te nemen, meestal door je provider over te halen het naar een simkaart van hen over te zetten (een SIM-swap) of door je een nep-activatielink voor een eSIM te sturen die je nummer naar hun telefoon verplaatst. Stel een pincode in bij je provider, gebruik een authenticator-app in plaats van sms-codes en installeer een eSIM alleen via de eigen app of website van je aanbieder, zo blijf je beschermd.
Wat een eSIM is en hoe hij beschermd is
De technische naam van een eSIM is eUICC, kort voor "embedded universal integrated circuit card". Het is een kleine, manipulatiebestendige chip die al in je telefoon is gesoldeerd. Anders dan de plastic simkaart zit hij niet voor altijd vast aan één provider (je mobiele provider of een eSIM-aanbieder). Hij kan meerdere providerprofielen bevatten en in een paar seconden nieuwe downloaden.
Dat downloaden heet SIM-provisioning op afstand, het proces dat is vastgelegd in de eSIM-specificaties van de GSMA. Voordat er iets op je telefoon komt, wisselen het toestel en de provisioningserver van de provider certificaten uit en controleren ze elkaar. Daarna wordt het profiel versleuteld voor precies die ene chip. Het komt terecht in het secure element, een beveiligd deel van de chip dat de rest van de software op je telefoon niet kan lezen.
Onderzoekers van de Aalto-universiteit hebben het downloadprotocol van de eSIM gemodelleerd en gezocht naar manieren waarop een aanvaller binnen zou kunnen komen. Volgens de resultaten die de GSMA publiceerde is het voldoende beveiligd tegen hackers. De zwakke plekken die de analyse wel vond, gaan er allemaal van uit dat de provisioningserver of de chip al vóór het downloaden is gecompromitteerd.
eSIM en fysieke simkaart: wat verandert er en wat niet
Wat er gebeurt | Fysieke simkaart | eSIM |
|---|---|---|
Iemand steelt de telefoon en zet de simkaart in zijn eigen toestel | Mogelijk, de kaart kan eruit | Niet mogelijk, de chip is vastgesoldeerd |
De kaart klonen met fysieke toegang | Een bekende aanval op oudere kaarten | Geen kaart om eruit te halen of te kopiëren |
Beveiligd met een sim-pincode | Ja | Ja, als de telefoon het ondersteunt |
Gewist als je de telefoon reset | Alleen als je de kaart eruit haalt | Gewist in de instellingen, of bewust bewaard |
Overstappen naar een nieuw toestel | De kaart verplaatsen | Het profiel overzetten |
Je telefoonnummer en je account bij je provider | Onveranderd | Onveranderd |
Het netwerk waarmee je telefoon verbindt | Onveranderd | Onveranderd |
Versleuteling van je dataverkeer | Onveranderd | Onveranderd |
De FCC vat het praktische verschil helder samen in haar eSIM-gids: een eSIM kun je niet stelen zonder de telefoon te stelen. Fysieke simkaarten worden wel degelijk uit verloren telefoons gehaald en gebruikt om persoonlijke gegevens en je nummer te stelen.
Zijn eSIMs veilig tegen SIM-swapping, phishing en andere oplichting?
Een eSIM kan deze vormen van oplichting niet tegenhouden, en een fysieke simkaart ook niet, want ze richten zich op je accounts en niet op je telefoon.
SIM-swaps
Bij een SIM-swap doet een oplichter zich voor als jou en haalt hij je provider, meestal via de klantenservice, over om je nummer over te zetten naar een simkaart die hij in handen heeft. Vanaf dat moment gaan je oproepen en sms'jes naar hem, ook de eenmalige codes voor je bank en je e-mail.
"Een dief die je telefoon meeneemt, kan een fysieke simkaart eruit halen, in een andere telefoon stoppen en je oproepen en sms-codes voor bankinlogs, tweestapsverificatie en wachtwoordresets ontvangen. Bij een eSIM zit het profiel vast in de beveiligde hardware van de telefoon. Omdat een dief de eSIM niet kan verwijderen, blijft de telefoon meestal verbonden met het netwerk, zodat Zoek mijn iPhone of Vind mijn apparaat hem nog kan lokaliseren, vergrendelen of wissen. De fysieke simkaart eruit halen is vaak het eerste wat een dief doet om een telefoon offline te halen."
Asım Alp, medeoprichter en CTO van Roamless (15+ jaar in de telecommunicatie)
Er is ook een variant die zich rechtstreeks op eSIM-gebruikers richt. Oplichters doen zich voor als je provider en bellen of sms'en je met een link om een eSIM te "activeren". Klik je erop, dan gaat je nummer naar hun telefoon.
Hoe grondig je provider moet controleren voordat hij je nummer overzet, hangt af van waar je woont:
Waar | Wat de regels zeggen |
|---|---|
Verenigde Staten | De FCC stelde in 2023 regels vast die providers verplichten je identiteit veilig te controleren voordat ze je nummer overzetten, en je te laten weten wanneer iemand dat probeert. In juli 2024 kregen providers meer tijd om eraan te voldoen. |
Australië | Sinds 30 juni 2022 moeten telecombedrijven vóór een SIM-swap controles met meerdere factoren gebruiken, zoals je persoonsgegevens plus een eenmalige code. Ze moeten die controles ook minstens een jaar bewaren. |
Canada | De CRTC heeft providers in 2020 en opnieuw in 2023 om gegevens gevraagd over ongeautoriseerde SIM-swaps en nummeroverdrachten. In juli 2026 paste ze het overstapproces aan: een nieuwe provider kan je nummer pas activeren als je oude provider de overstap bevestigt. |
Verenigd Koninkrijk | Er is geen regel van de toezichthouder die specifiek over SIM-swaps gaat. In plaats daarvan ondertekenden mobiele netwerken in november 2025 met de overheid een fraudecharter, waarin ze zich verbinden aan gezamenlijke maatregelen tegen accountovername, zoals tweestapsverificatie vóór accountoverdrachten. |
Europese Unie | Er is geen EU-brede regel, al hebben sommige landen, zoals Italië, er zelf een. |
Waar je ook bent: vraag je provider wat hij controleert voordat hij je nummer naar een nieuw toestel overzet.
Phishing
Veel oplichting begint met phishing. Oplichters sturen e-mails en sms'jes die lijken te komen van een bedrijf dat je vertrouwt, zoals je bank of je provider, om je wachtwoorden of accountgegevens te achterhalen. SIM-swappers gebruiken phishing ook bij medewerkers van providers om toegang tot je account te krijgen (FBI).
Oplichting met AI
AI maakt het nog makkelijker om je als iemand anders voor te doen. Er zijn gevallen bekend van criminelen die met gekloonde stemmen in bankrekeningen kwamen, en met door AI gemaakte valse identiteitsbewijzen identiteitscontroles doorstonden (FBI).
Zo bescherm je je tegen al deze vormen van oplichting:
Stel bij je provider een pincode of wachtwoord voor je account in, en geef die nooit aan iemand die belt en erom vraagt.
Vraag of je provider een nummerblokkade of overstapblokkade aanbiedt, en zet die aan.
Gebruik waar je kunt een authenticator-app in plaats van sms-codes, en bewaar de back-upcodes ergens waar je ook zonder je telefoon bij kunt.
Gebruik geen links in berichten die je niet verwachtte. Ga zelf naar de app of website van het bedrijf.
Vraagt iemand aan de telefoon om geld of een code, hang dan op en bel terug naar een nummer dat je zelf opzoekt.
Spreek met je familie een geheim woord of een controlevraag af, zodat je kunt checken of zij het echt zijn aan de telefoon.
Kan een eSIM gehackt worden?
In theorie wel, maar voor de enige gepubliceerde aanval op een eSIM-chip voor consumenten moesten de aanvallers de chip zelf in handen hebben.
In 2025 kraakte het onderzoekslab Security Explorations een eSIM-chip van Kigen via een testprofiel. Het lab haalde de sleutel eruit die de chip identificeert, en kon daarmee eSIM-profielen van mobiele providers downloaden.
Om zo'n aanval te herhalen heb je echter zowel de chip als de toegangscodes van het testprofiel nodig, en inmiddels zijn er maatregelen genomen om het nog moeilijker te maken. Kigen heeft het lek gedicht en de GSMA heeft haar regels aangepast om precies deze route te blokkeren.
Wat je eSIM-aanbieder kan zien
Een eSIM voor op reis is een roamingproduct. Je data gaat via een lokaal netwerk onder een roamingovereenkomst en je aanbieder stuurt die door. Daardoor ziet hij wat elke mobiele provider bij elke klant ziet:
Welke zendmasten je hebt gebruikt
Ongeveer wanneer en waar
Hoeveel data je hebt verbruikt
Met welke servers je verbinding hebt gemaakt
Wat hij niet ziet, is de inhoud, want die is versleuteld tussen je telefoon en de app of website die je gebruikt. Je eigen provider thuis ziet precies hetzelfde als je roamt met zijn internationale reisbundels.
Een eSIM gebruiken voor bankieren en tweestapsverificatie
Reis-eSIMs zijn alleen voor data. Ze hebben geen telefoonnummer en kunnen geen gewone oproepen of sms-codes ontvangen.
Wil je dat bankieren en eenmalige wachtwoorden (OTP's) in het buitenland blijven werken:
Laat je simkaart van thuis actief en zet dataroaming uit, zodat sms'jes en eenmalige codes gewoon op je eigen nummer binnenkomen, zonder roamingrekening.
Stel de reis-eSIM in als lijn voor mobiele data.
Zet belangrijke accounts vóór vertrek over op een authenticator-app en bewaar de back-upcodes.
Laat je bank weten dat je op reis gaat als dat kan, want inloggen vanuit een onbekend land kan een blokkade veroorzaken.
Wil je overal oproepen en sms-codes ontvangen, thuis of in het buitenland, dan kun je ook gewoon een telefoonnummer nemen dat geen fysieke simkaart of eSIM nodig heeft.
Gebruik voor het bankieren zelf mobiele data in plaats van openbare wifi. Wifi op luchthavens en in hotels is gedeeld, wordt door niemand beheerd en is makkelijk na te bootsen. Mobiel verkeer is versleuteld tussen je telefoon en de apparatuur van de provider, en er is geen gedeeld netwerk waar iemand anders op kan.
Zo kies je een eSIM-aanbieder die je kunt vertrouwen
Net zo belangrijk als technische beveiliging is hoeveel vertrouwen je in een eSIM-aanbieder kunt hebben. Dat komt meestal neer op hoe open en eerlijk de aanbieder is over wat hij je rekent en welke gegevens hij verzamelt. Check eerst of de eSIM-aanbieder:
Vertelt welke lokale netwerken hij gebruikt. Dekking en snelheid hangen af van het netwerk, dus daar betaal je eigenlijk voor.
Open is over snelheidslimieten en fair use, zodat je onderweg niet zonder waarschuwing met tragere data zit.
Duidelijk maakt wanneer je data verloopt. Anders verlies je misschien data waarvoor je al hebt betaald.
Een goed bereikbare klantenservice en een duidelijk terugbetalingsbeleid heeft, voor het geval je eSIM niet wil installeren of geen verbinding maakt.
Rechtstreeks verkoopt via de eigen website of app. Dan is je QR-code nieuw en krijg je de ondersteuning van de aanbieder.
Alleen de app-machtigingen vraagt die nodig zijn, want alles daarboven betekent dat hij gegevens verzamelt die hij niet nodig heeft.
Maakt een eSIM-aanbieder deze informatie moeilijk te vinden, kijk dan liever verder.
Eén globale eSIM, waar je ook bent
Een Global eSIM van Roamless werkt in meer dan 200 bestemmingen: je installeert hem één keer en hij blijft werken terwijl je grenzen oversteekt. Je Roamless-tegoed vervalt nooit, dus de data die je koopt staat klaar wanneer je die nodig hebt, thuis of op je volgende reis.
Veelgestelde vragen over eSIM-beveiliging
Kunnen eSIMs gehackt worden?
Technisch gezien is het mogelijk om een eSIM te hacken, maar het is heel onwaarschijnlijk dat het jou overkomt. Voor de enige gepubliceerde hack van een eSIM-chip voor consumenten, door het onderzoekslab Security Explorations in 2025, moesten de aanvallers de chip in handen hebben en een set toegangscodes kennen. De chipfabrikant Kigen heeft inmiddels een patch uitgebracht (Security Explorations, Kigen). De echte risico's zijn vormen van oplichting die zich op je accounts richten, zoals SIM-swapping en phishing, en die werken met een eSIM net zo als met een fysieke simkaart.
Kan een eSIM gekloond worden?
Niet bij normaal gebruik. Bij het downloaden wordt een eSIM versleuteld voor die ene chip in je telefoon. In het enige gepubliceerde geval waarin onderzoekers eSIM-profielen kopieerden, moesten ze eerst inbreken in een chip die ze fysiek in handen hadden (Security Explorations).
Kan een eSIM gevolgd worden?
Niet meer dan een fysieke simkaart. Elke telefoon die aanstaat en verbonden is met een mobiel netwerk, kan door de provider ongeveer worden gelokaliseerd aan de hand van de zendmasten die hij gebruikt, welk soort simkaart er ook in zit (EFF).
Is een eSIM veilig voor online bankieren?
Ja, en de mobiele verbinding is daarvoor veiliger dan openbare wifi. Een reis-eSIM met alleen data kan geen sms-codes ontvangen, dus houd je eigen nummer bereikbaar of zet je accounts vóór vertrek over op een authenticator-app.
Is er een reden om geen eSIM te gebruiken?
Drie praktische redenen. Als je telefoon het begeeft, kun je geen chip in een reservetoestel stoppen zoals je met een kaart wel kunt. Sommige profielen beperken hoe vaak je ze opnieuw kunt installeren. En in een paar landen is kopen ter plekke lastig.
In welke landen zijn eSIMs niet toegestaan?
eSIMs werken in de meeste landen, maar een paar landen beperken hoe je ze koopt of gebruikt. In Turkije zijn de websites en apps van veel internationale eSIM-aanbieders geblokkeerd. Reis-eSIMs maken wel verbinding via lokale netwerken, dus een eSIM die je al vóór aankomst in Turkije hebt geïnstalleerd, werkt gewoon. In Rusland wordt mobiele data op buitenlandse simkaarten, ook eSIMs, volgens berichten na aankomst 24 uur geblokkeerd. En telefoons die in het Chinese vasteland worden verkocht, ondersteunen pas sinds oktober 2025 eSIM, dus heb je de jouwe daar gekocht, check dan of hij eSIM ondersteunt.
Wat gebeurt er met mijn eSIM als mijn telefoon kwijt is of gestolen wordt?
Het profiel kan niet uit het toestel worden gehaald, en wissen op afstand verwijdert het samen met al het andere, al kun je ervoor kiezen de eSIM te behouden als je de telefoon wist. Bel ook je provider om de lijn te laten blokkeren, want het is je account waar een aanvaller op uit is.
Kan mijn eSIM-aanbieder zien wat ik bekijk?
Hij ziet wat elke mobiele provider ziet: hoeveelheden, tijdstippen, je locatie bij benadering en met welke servers je contact had. Niet de inhoud, want die is versleuteld tussen je telefoon en de website. Je eigen provider ziet hetzelfde als je roamt.
Is een eSIM veiliger dan een fysieke simkaart?
Bij fysieke diefstal wel, want er is geen kaart om eruit te halen. Voor al het andere zijn ze gelijk, want aanvallen richten zich op je account bij je provider en je wachtwoorden, en die veranderen niet als de kaart verandert.
Begrippenlijst
eUICC: de ingebouwde chip waarop een eSIM staat. De hardware.
Secure element: het beveiligde deel van die chip waar inloggegevens worden opgeslagen, afgeschermd van de rest van de software op de telefoon.
eSIM-profiel: de inloggegevens van de provider die op de chip worden gedownload. Dat maakt je telefoon klant van een bepaald netwerk.
SIM-provisioning op afstand: het door de GSMA vastgelegde proces om een profiel draadloos te leveren.
IMSI: de abonnee-identiteit die een netwerk gebruikt om je oproepen en sms'jes te routeren. Dit is wat een SIM-swap verplaatst.
SM-DP+: de provisioningserver van de provider, het adres waar je telefoon contact mee opneemt om een profiel op te halen.
TOTP: de steeds wisselende code van zes cijfers uit een authenticator-app, en de reden dat die beter bestand is tegen SIM-swapping dan sms.
