Em resumo
Uma eSIM é um chip integrado no teu telemóvel, por isso um ladrão não a consegue retirar, o que significa que um telemóvel roubado costuma continuar ligado à rede e pode ser localizado, bloqueado ou apagado à distância. Mesmo assim, os burlões podem tentar ficar com o teu número, sobretudo convencendo o teu operador a transferi-lo para um SIM que controlam (SIM swapping) ou enviando-te uma falsa ligação de ativação de eSIM que o passa para o telemóvel deles. Para te manteres protegido, define um PIN no teu operador, usa uma aplicação de autenticação em vez de códigos por SMS e instala uma eSIM apenas a partir da aplicação ou do site do teu fornecedor.
O que é uma eSIM e como está protegida
O nome técnico de uma eSIM é eUICC, sigla inglesa de "cartão de circuito integrado universal incorporado". É um pequeno chip à prova de adulteração, já soldado no teu telemóvel e, ao contrário do cartão SIM de plástico, não fica preso para sempre a um único operador (o teu operador de rede ou um fornecedor de eSIM). Pode guardar vários perfis de operadores e descarregar novos em segundos.
Esse descarregamento é o provisionamento remoto de SIM, o processo definido nas especificações de eSIM da GSMA. Antes de chegar alguma coisa ao teu telemóvel, o aparelho e o servidor de provisionamento do operador trocam certificados e verificam-se mutuamente, e depois o perfil é encriptado para aquele chip específico. Fica guardado no elemento seguro, uma zona protegida do chip que o resto do software do telemóvel não consegue ler.
Investigadores da Universidade de Aalto modelaram o protocolo de descarregamento da eSIM e procuraram formas de um atacante conseguir entrar. Segundo os resultados publicados pela GSMA, o protocolo está adequadamente protegido contra hackers. As fragilidades que a análise identificou partem todas do princípio de que o servidor de provisionamento ou o chip já estavam comprometidos antes do descarregamento.
eSIM e cartão SIM físico: o que muda e o que não muda
O que acontece | Cartão SIM físico | eSIM |
|---|---|---|
Alguém rouba o telemóvel e põe o SIM no seu próprio aparelho | Possível, o cartão sai | Impossível, o chip está soldado |
Clonar o cartão com acesso físico | Um ataque conhecido em cartões mais antigos | Não há cartão para retirar ou copiar |
Proteção com PIN do SIM | Sim | Sim, se o telemóvel o suportar |
Apagado quando repões o telemóvel | Só se retirares o cartão | Apagado nas definições ou mantido de propósito |
Mudar para um telemóvel novo | Mudas o cartão | Transferes o perfil |
O teu número e a tua conta do operador | Iguais | Iguais |
A rede a que o telemóvel se liga | Igual | Igual |
A encriptação do teu tráfego | Igual | Igual |
A FCC resume bem a diferença prática no seu guia sobre eSIM: não se consegue roubar uma eSIM sem roubar o telemóvel. Já os cartões SIM físicos são mesmo retirados de telemóveis perdidos e usados para roubar dados pessoais e o teu número.
As eSIM estão protegidas contra SIM swapping, phishing e outras burlas?
Uma eSIM não consegue travar estas burlas, e um cartão SIM físico também não, porque visam as tuas contas e não o teu telemóvel.
SIM swapping
No SIM swapping, um burlão faz-se passar por ti e convence o teu operador, normalmente através do apoio ao cliente, a transferir o teu número para um SIM que ele controla. A partir daí, as tuas chamadas e mensagens vão para ele, incluindo os códigos de utilização única do banco e do email.
"Um ladrão que leve o teu telemóvel pode retirar um cartão SIM físico, colocá-lo noutro telemóvel e começar a receber as tuas chamadas e os códigos por SMS para entrar no banco, para a autenticação de dois fatores e para repor palavras-passe. Com uma eSIM, o perfil fica bloqueado no hardware seguro do telemóvel. Como o ladrão não consegue remover a eSIM, o telemóvel costuma continuar ligado à rede, por isso o Encontrar iPhone ou o Encontrar o meu dispositivo ainda o conseguem localizar, bloquear ou apagar. Retirar o cartão SIM físico é muitas vezes a primeira coisa que um ladrão faz para pôr um telemóvel offline."
Asım Alp, cofundador e CTO da Roamless (mais de 15 anos em telecomunicações)
Há também uma variante que visa diretamente quem usa eSIM. Os burlões fazem-se passar pelo teu operador e ligam-te ou enviam-te uma mensagem com uma ligação para "ativar" uma eSIM. Se clicares, o teu número passa para o telemóvel deles.
O que o teu operador tem de verificar antes de transferir o teu número depende de onde vives:
Onde | O que dizem as regras |
|---|---|
Estados Unidos | A FCC aprovou regras em 2023 que obrigam os operadores a verificar a tua identidade de forma segura antes de transferirem o teu número e a avisar-te quando alguém tenta fazê-lo. Em julho de 2024, os operadores tiveram mais tempo para cumprir. |
Austrália | Desde 30 de junho de 2022, os operadores têm de usar verificações multifator, como os teus dados pessoais mais um código de utilização única, antes de uma troca de SIM. Também têm de guardar registos dessas verificações durante pelo menos um ano. |
Canadá | A CRTC pediu dados aos operadores sobre trocas de SIM e portabilidades não autorizadas, em 2020 e de novo em 2023. Em julho de 2026, alterou o processo de portabilidade para que um novo operador não possa ativar o teu número até o anterior confirmar a mudança. |
Reino Unido | Nenhuma regra do regulador visa o SIM swapping. Em vez disso, os operadores móveis assinaram com o governo uma carta contra a fraude em novembro de 2025, comprometendo-se com práticas comuns contra o roubo de contas, como a autenticação de dois fatores antes de transferir uma conta. |
União Europeia | Não há uma regra para toda a UE, mas alguns países, como Itália, têm a sua. |
Estejas onde estiveres, pergunta ao teu operador o que verifica antes de transferir o teu número para um aparelho novo.
Phishing
Muitas burlas começam com phishing. Os burlões enviam emails e mensagens que parecem vir de uma empresa em que confias, como o teu banco ou o teu operador, para obter as tuas palavras-passe ou dados da conta. Quem faz SIM swapping também usa phishing com funcionários dos operadores para aceder à tua conta (FBI).
Burlas com IA
A IA facilita ainda mais a usurpação de identidade. Já houve casos de criminosos que usaram vozes clonadas para entrar em contas bancárias e documentos de identificação falsos gerados por IA para passar verificações de identidade (FBI).
Para te protegeres de todas estas burlas:
Define um PIN ou uma palavra-passe na tua conta do operador e nunca a dês a quem te ligar a pedi-la.
Pergunta se o teu operador tem bloqueio do número ou bloqueio da portabilidade e ativa-o.
Usa uma aplicação de autenticação em vez de códigos por SMS sempre que puderes, e guarda os códigos de recuperação num sítio a que consigas chegar sem o telemóvel.
Não uses ligações em mensagens que não estavas à espera. Vai tu mesmo à aplicação ou ao site da empresa.
Se uma chamada te pedir dinheiro ou um código, desliga e liga de volta para um número que procures tu.
Combina com a tua família uma palavra ou pergunta secreta, para confirmares que são mesmo eles ao telefone.
Uma eSIM pode ser pirateada?
Em teoria, sim, mas o único ataque publicado contra um chip eSIM de consumo exigiu que os atacantes tivessem o chip nas mãos.
Em 2025, o laboratório de investigação Security Explorations entrou num chip eSIM da Kigen através de um perfil de teste e extraiu a chave que identifica o chip, o que lhe permitiu descarregar perfis eSIM de operadores móveis.
Mas repetir um ataque destes exigiria ter tanto o chip como os códigos de acesso do perfil de teste, e desde então foram tomadas medidas para o tornar ainda mais difícil. A Kigen corrigiu a falha e a GSMA alterou as suas regras para bloquear esse mesmo caminho.
O que o teu fornecedor de eSIM consegue ver
Uma eSIM de viagem é um produto de roaming. Os teus dados passam por uma rede local ao abrigo de um acordo de roaming e o teu fornecedor encaminha-os, o que lhe dá a mesma visibilidade que qualquer operador móvel tem sobre qualquer cliente:
Que antenas usaste
Mais ou menos quando e onde
Quantos dados gastaste
A que servidores te ligaste
O que não lhe dá é o conteúdo, que segue encriptado entre o teu telemóvel e a aplicação ou o site que estás a usar. O teu operador habitual tem exatamente a mesma visibilidade se fizeres roaming com os tarifários internacionais dele.
Usar uma eSIM para o banco e a autenticação de dois fatores
As eSIM de viagem são só de dados, por isso não têm número de telefone e não recebem chamadas normais nem códigos por SMS.
Se quiseres que o banco e as palavras-passe de utilização única (OTP) continuem a funcionar no estrangeiro:
Mantém o teu SIM habitual ativo com o roaming de dados desligado, para que as mensagens e os códigos continuem a chegar ao teu número de sempre sem custos de roaming.
Define a eSIM de viagem como linha de dados móveis.
Passa as contas importantes para uma aplicação de autenticação antes de viajar e guarda os códigos de recuperação.
Avisa o teu banco de que vais viajar, se tiver essa opção, porque um início de sessão a partir de um país diferente pode provocar um bloqueio.
Se quiseres receber chamadas e códigos por SMS em qualquer lado, em casa ou no estrangeiro, também podes ter um número de telefone que não precisa de cartão SIM físico nem de eSIM.
Para a sessão bancária em si, usa dados móveis em vez de WiFi público. O WiFi de aeroportos e hotéis é partilhado, ninguém o gere e é fácil de imitar. O tráfego móvel segue encriptado entre o teu telemóvel e o equipamento do operador, e não há uma rede partilhada a que outra pessoa se possa ligar.
Como escolher um fornecedor de eSIM de confiança
Tão importante como a segurança técnica é o quanto podes confiar num fornecedor de eSIM. Normalmente, isso depende de o fornecedor ser transparente e justo no que te cobra e nos dados que recolhe. Começa por verificar se o fornecedor de eSIM:
Diz que redes locais usa. A cobertura e a velocidade dependem da rede, por isso é isso que estás a pagar.
É claro quanto aos limites de velocidade e de utilização razoável, para não ficares com dados mais lentos a meio da viagem sem aviso.
Deixa claro quando os teus dados expiram. Caso contrário, podes perder dados que já pagaste.
Tem um apoio ao cliente fácil de contactar e uma política de reembolso clara, para o caso de a tua eSIM não se instalar ou não ligar.
Vende diretamente no seu próprio site ou aplicação. Assim, o teu código QR é novo e tens o apoio do fornecedor.
Só pede as permissões de que a aplicação precisa, porque qualquer permissão a mais significa que recolhe dados de que não precisa.
Se um fornecedor de eSIM torna esta informação difícil de encontrar, pensa em procurar outro.
Uma eSIM global onde quer que estejas
Uma eSIM global da Roamless cobre mais de 200 destinos: instalas uma vez e continua a funcionar enquanto atravessas fronteiras. Como os teus Créditos nunca expiram, os dados que compras ficam prontos para quando precisares, em casa ou na próxima viagem.
Perguntas frequentes sobre a segurança da eSIM
As eSIM podem ser pirateadas?
Tecnicamente, é possível piratear uma eSIM, mas é muito pouco provável que te aconteça. O único ataque publicado a um chip eSIM de consumo, feito pelo laboratório Security Explorations em 2025, exigiu que os atacantes tivessem o chip nas mãos e um conjunto de códigos de acesso. A fabricante do chip, a Kigen, já lançou uma correção (Security Explorations, Kigen). Os riscos reais são as burlas que visam as tuas contas, como o SIM swapping e o phishing, que funcionam da mesma forma com uma eSIM ou com um cartão SIM físico.
Uma eSIM pode ser clonada?
Numa utilização normal, não. Quando uma eSIM é descarregada, fica encriptada para o único chip do teu telemóvel. No único caso publicado em que investigadores copiaram perfis eSIM, primeiro tiveram de entrar num chip que tinham fisicamente nas mãos (Security Explorations).
Uma eSIM pode ser localizada?
Não mais do que um cartão SIM físico. Qualquer telemóvel ligado e com rede móvel pode ser localizado de forma aproximada pelo operador a partir das antenas que usa, seja qual for o tipo de SIM (EFF).
Uma eSIM é segura para o homebanking?
Sim, e a ligação móvel é mais segura do que o WiFi público para isso. Uma eSIM de viagem só de dados não recebe códigos por SMS, por isso mantém a tua linha habitual contactável ou passa as tuas contas para uma aplicação de autenticação antes de ires.
Há alguma razão para não usar uma eSIM?
Três razões práticas. Se o telemóvel avariar, não podes passar um chip para um telemóvel de reserva como farias com um cartão. Alguns perfis limitam o número de vezes que podem ser reinstalados. E há alguns países onde é complicado comprar uma depois de lá estares.
Em que países não são permitidas eSIM?
As eSIM funcionam na maioria dos países, mas alguns limitam a forma como as podes comprar ou usar. Na Turquia, os sites e as aplicações de muitos fornecedores internacionais de eSIM estão bloqueados. No entanto, as eSIM de viagem ligam-se através de redes locais, por isso uma que já tenhas instalado antes de chegar à Turquia funciona normalmente. Na Rússia, segundo relatos, os dados móveis em cartões SIM estrangeiros, incluindo eSIM, são cortados durante 24 horas depois de chegares. E os telemóveis vendidos na China continental só passaram a suportar eSIM em outubro de 2025, por isso, se compraste o teu lá, verifica se suporta eSIM.
O que acontece à minha eSIM se perder o telemóvel ou mo roubarem?
O perfil não pode ser retirado do aparelho, e uma limpeza remota apaga-o juntamente com tudo o resto, embora possas optar por manter a eSIM quando repões o telemóvel. Liga também ao teu operador para suspender a linha, porque é a conta que um atacante iria procurar.
O meu fornecedor de eSIM consegue ver o que navego?
Vê o que qualquer operador móvel vê: volumes, horários, localização aproximada e os servidores contactados. Não vê o conteúdo, que segue encriptado entre o teu telemóvel e o site. O teu operador habitual vê o mesmo quando fazes roaming.
Uma eSIM é mais segura do que um cartão SIM físico?
Contra o roubo físico, sim, porque não há cartão para retirar. Em tudo o resto, os dois são iguais, porque o que é atacado é a tua conta do operador e as tuas palavras-passe, e isso não muda quando o cartão muda.
Glossário
eUICC: o chip integrado onde vive a eSIM. O hardware.
Elemento seguro: a parte protegida desse chip onde ficam guardadas as credenciais, isolada do resto do software do telemóvel.
Perfil eSIM: as credenciais do operador descarregadas para o chip. É o que torna o teu telemóvel cliente de uma determinada rede.
Provisionamento remoto de SIM: o processo definido pela GSMA para entregar um perfil sem fios.
IMSI: a identidade de assinante que a rede usa para encaminhar as tuas chamadas e mensagens. É o que um SIM swap transfere.
SM-DP+: o servidor de provisionamento do operador, o endereço que o telemóvel contacta para ir buscar um perfil.
TOTP: o código de seis dígitos que muda constantemente numa aplicação de autenticação, e a razão pela qual resiste melhor ao SIM swapping do que um SMS.
