Насколько безопасна eSIM? Защита, риски и что проверить

Коротко

eSIM встроена в телефон в виде чипа, поэтому вор не сможет ее вынуть, а значит, украденный телефон обычно остается в сети и его можно удаленно найти, заблокировать или стереть. При этом мошенники все равно могут попытаться завладеть вашим номером, чаще всего убедив оператора перенести его на SIM-карту, которую они контролируют (SIM-своп), или прислав вам поддельную ссылку для активации eSIM, которая переносит номер на их телефон. Чтобы оставаться под защитой, установите PIN-код у оператора, используйте приложение-аутентификатор вместо SMS-кодов и устанавливайте eSIM только из приложения или с сайта своего провайдера.

Что такое eSIM и как она защищена

Техническое название eSIM: eUICC, от английского embedded universal integrated circuit card, то есть встроенная универсальная карта на интегральной схеме. Это маленький чип с защитой от вскрытия, который уже впаян в ваш телефон. В отличие от пластиковой SIM-карты, он не привязан навсегда к одному оператору (вашему мобильному оператору или провайдеру eSIM). На нем можно хранить несколько профилей операторов и за секунды загружать новые.

Такая загрузка называется удаленной инициализацией SIM (Remote SIM Provisioning). Это процесс, описанный в спецификациях eSIM GSMA. Прежде чем что-либо попадет на телефон, устройство и сервер инициализации оператора обмениваются сертификатами и проверяют друг друга, а затем профиль шифруется для одного конкретного чипа. Он сохраняется в защищенном элементе (secure element), то есть в защищенной области чипа, которую остальное программное обеспечение телефона прочитать не может.

Исследователи из Университета Аалто смоделировали протокол загрузки eSIM и искали способы, которыми злоумышленник мог бы проникнуть внутрь. Согласно результатам, опубликованным GSMA, протокол надежно защищен от хакеров. Все уязвимости, которые выявил анализ, предполагают, что сервер инициализации или чип были скомпрометированы еще до загрузки.

eSIM и физическая SIM-карта: что меняется, а что нет

FCC четко формулирует практическую разницу в своем руководстве по eSIM: eSIM невозможно украсть, не украв телефон. А вот физические SIM-карты действительно вынимают из потерянных телефонов и используют, чтобы украсть личные данные и ваш номер.

Защищены ли eSIM от SIM-свопа, фишинга и других схем мошенничества?

eSIM не может остановить эти схемы, как и физическая SIM-карта, потому что они нацелены на ваши аккаунты, а не на телефон.

SIM-своп

При SIM-свопе мошенник выдает себя за вас и убеждает оператора, обычно через службу поддержки, перенести ваш номер на SIM-карту, которую контролирует он. С этого момента ваши звонки и SMS приходят ему, включая одноразовые коды от банка и почты.

«Вор, который забрал ваш телефон, может вынуть физическую SIM-карту, вставить ее в другой телефон и начать получать ваши звонки и SMS-коды для входа в банк, двухфакторной аутентификации и сброса паролей. У eSIM профиль заблокирован в защищенном оборудовании телефона. Поскольку вор не может извлечь eSIM, телефон обычно остается подключенным к сети, и функции „Локатор“ на iPhone или „Найти устройство“ по-прежнему могут определить его местоположение, заблокировать или стереть его. Вор часто первым делом вынимает физическую SIM-карту, чтобы отключить телефон от сети».

Асым Алп (Asım Alp), сооснователь и технический директор Roamless (более 15 лет в телекоммуникациях)

Есть и вариант, нацеленный именно на пользователей eSIM. Мошенники звонят или пишут от имени вашего оператора и присылают ссылку, чтобы «активировать» eSIM, а переход по ней переносит ваш номер на их телефон.

Насколько тщательно оператор должен проверять вас, прежде чем перенести номер, зависит от того, где вы живете:

Где бы вы ни находились, спросите у оператора, что он проверяет, прежде чем перенести ваш номер на новое устройство.

Фишинг

С фишинга начинаются многие схемы мошенничества. Мошенники рассылают письма и сообщения, которые выглядят так, будто пришли от компании, которой вы доверяете, например от банка или оператора, чтобы выманить пароли или данные аккаунта. Те, кто проворачивает SIM-своп, также применяют фишинг к сотрудникам операторов, чтобы получить доступ к вашему аккаунту (FBI).

Мошенничество с ИИ

ИИ делает выдачу себя за другого еще проще. Уже были случаи, когда преступники с помощью клонированных голосов получали доступ к чужим банковским счетам, а с помощью созданных ИИ поддельных документов проходили проверку личности (FBI).

Чтобы защититься от всех этих схем:

• Установите PIN-код или пароль на аккаунт у оператора и никогда не сообщайте его тем, кто звонит и просит его назвать.

• Узнайте, есть ли у оператора блокировка номера или запрет на перенос номера, и включите ее.

• По возможности используйте приложение-аутентификатор вместо SMS-кодов, а резервные коды храните там, где они будут доступны без телефона.

• Не переходите по ссылкам в сообщениях, которых вы не ждали. Откройте приложение или сайт компании сами.

• Если по телефону просят деньги или код, положите трубку и перезвоните по номеру, который найдете сами.

• Договоритесь с близкими о секретном слове или вопросе, чтобы проверить, что на связи действительно они.

Можно ли взломать eSIM?

Теоретически да, но для единственной опубликованной атаки на потребительский чип eSIM злоумышленникам понадобился сам чип.

В 2025 году исследовательская лаборатория Security Explorations взломала чип eSIM от Kigen через тестовый профиль и извлекла ключ, идентифицирующий чип. Это позволило ей загружать профили eSIM мобильных операторов.

Но чтобы повторить такую атаку, нужны и сам чип, и коды доступа к тестовому профилю, а с тех пор были приняты меры, которые сделали ее еще сложнее. Kigen закрыла уязвимость, а GSMA изменила свои правила, чтобы перекрыть этот путь.

Что видит ваш провайдер eSIM

eSIM для путешествий работает в роуминге. Ваши данные идут через местную сеть по роуминговому соглашению, а провайдер их маршрутизирует. Поэтому он видит то же, что любой мобильный оператор видит о любом клиенте:

• Какие вышки вы использовали

• Примерно когда и где

• Сколько данных вы потратили

• К каким серверам вы подключались

Содержимое он не видит: оно зашифровано между вашим телефоном и приложением или сайтом, которым вы пользуетесь. Ваш домашний оператор видит ровно то же самое, если вы пользуетесь его роуминговыми тарифами за границей.

eSIM для банковских приложений и двухфакторной аутентификации

eSIM для путешествий работают только с мобильным интернетом: у них нет номера телефона, и они не могут принимать обычные звонки или SMS-коды.

Чтобы банк и одноразовые пароли (OTP) работали за границей:

• Оставьте домашнюю SIM-карту активной, но отключите на ней роуминг данных. Так SMS и одноразовые коды продолжат приходить на ваш обычный номер без счетов за роуминг.

• Выберите eSIM для путешествий в качестве линии для мобильного интернета.

• Перед вылетом переведите важные аккаунты на приложение-аутентификатор и сохраните резервные коды.

• Предупредите банк о поездке, если он это предлагает, потому что вход из непривычной страны может привести к блокировке.

• Если вы хотите принимать звонки и SMS-коды где угодно, дома или за границей, можно также завести номер телефона, которому не нужна ни физическая SIM-карта, ни eSIM.

Для самого сеанса в банковском приложении используйте мобильный интернет, а не общественный WiFi. WiFi в аэропортах и отелях общий, никем не управляется и его легко подделать. Мобильный трафик зашифрован между вашим телефоном и оборудованием оператора, и общей сети, к которой мог бы подключиться кто-то еще, нет.

Как выбрать надежного провайдера eSIM

Не менее важна, чем техническая защита, степень доверия к провайдеру eSIM. Обычно она зависит от того, насколько открыто и честно провайдер говорит о том, сколько с вас берет и какие данные собирает. Для начала проверьте, что провайдер eSIM:

• Сообщает, какими местными сетями пользуется. Покрытие и скорость зависят от сети, так что платите вы по сути за это.

• Честно указывает ограничения скорости и правила справедливого использования, чтобы посреди поездки интернет внезапно не замедлился без предупреждения.

• Четко сообщает, когда истекает срок действия данных. Иначе можно потерять уже оплаченный трафик.

• Предлагает доступную поддержку и понятные правила возврата средств на случай, если eSIM не установится или не подключится.

• Продает напрямую через свой сайт или приложение. Тогда ваш QR-код новый, а вы получаете поддержку провайдера.

• Запрашивает только те разрешения приложения, которые ему нужны. Все сверх этого означает, что он собирает лишние данные.

Если провайдер eSIM прячет эту информацию, лучше поискать другого.

Работают ли eSIM в России?

Да, но будьте готовы к тому, что мобильный интернет и SMS будут заблокированы на 24 часа после приезда. По данным Минцифры, с ноября 2025 года российские SIM-карты блокируются на 24 часа, когда возвращаются в Россию из-за границы. Такая же блокировка действует, если SIM-картой не пользовались 72 часа. Сообщается, что иностранные SIM-карты и eSIM сталкиваются с такой же блокировкой. Вернуть доступ быстрее можно, пройдя капчу, которую присылает оператор, но, по первым отзывам, это срабатывает не всегда, поэтому на первый день заранее позаботьтесь о WiFi.

Одна глобальная eSIM, где бы вы ни были

Глобальная eSIM от Roamless работает в более чем 200 направлениях: вы устанавливаете ее один раз, и она продолжает работать, когда вы пересекаете границы. Средства на Счете Roamless не сгорают, поэтому купленный трафик будет ждать вас, когда понадобится, дома или в следующей поездке.

Частые вопросы о безопасности eSIM

Можно ли взломать eSIM?

Технически взломать eSIM можно, но очень маловероятно, что это случится именно с вами. Единственный опубликованный взлом потребительского чипа eSIM, который провела лаборатория Security Explorations в 2025 году, потребовал, чтобы чип был в руках у атакующих, и набора кодов доступа. Производитель чипа, Kigen, с тех пор выпустил исправление (Security Explorations, Kigen). Реальные риски связаны со схемами, нацеленными на ваши аккаунты, например с SIM-свопом и фишингом, и они одинаково работают и с eSIM, и с физической SIM-картой.

Можно ли клонировать eSIM?

При обычном использовании нет. При загрузке eSIM шифруется для одного-единственного чипа в вашем телефоне. В единственном опубликованном случае, когда исследователи скопировали профили eSIM, им сначала пришлось взломать чип, который физически был у них в руках (Security Explorations).

Можно ли отследить eSIM?

Не больше, чем физическую SIM-карту. Любой включенный телефон, подключенный к мобильной сети, оператор может примерно определить по вышкам, которыми он пользуется, независимо от типа SIM-карты (EFF).

Безопасна ли eSIM для онлайн-банкинга?

Да, и мобильное соединение для этого безопаснее общественного WiFi. eSIM для путешествий, работающая только с интернетом, не может принимать SMS-коды, поэтому оставьте домашний номер доступным или переведите аккаунты на приложение-аутентификатор перед поездкой.

Есть ли причины не пользоваться eSIM?

Три практические. Если телефон сломается, вы не сможете переставить чип в запасной телефон, как карту. Некоторые профили ограничивают количество переустановок. И в ряде стран eSIM сложно купить уже на месте.

В каких странах eSIM не разрешены?

eSIM работают в большинстве стран, но некоторые ограничивают, как их можно купить или использовать. В Турции заблокированы сайты и приложения многих международных провайдеров eSIM. Однако eSIM для путешествий подключаются через местные сети, поэтому eSIM, установленная до приезда в Турцию, работает как обычно. В России, по имеющимся сообщениям, мобильный интернет на иностранных SIM-картах, включая eSIM, отключается на 24 часа после приезда. А телефоны, продаваемые в материковом Китае, получили поддержку eSIM только в октябре 2025 года, так что если вы купили свой там, проверьте, поддерживает ли он eSIM.

Что будет с моей eSIM, если телефон потеряется или его украдут?

Профиль нельзя извлечь из устройства, а удаленное стирание удаляет его вместе со всем остальным, хотя при сбросе телефона можно сохранить eSIM. Также позвоните оператору и попросите заблокировать линию, ведь злоумышленника интересует именно аккаунт.

Видит ли провайдер eSIM, какие сайты я посещаю?

Он видит то же, что и любой мобильный оператор: объемы трафика, время, примерное местоположение и серверы, к которым вы обращались. Содержимое он не видит, оно зашифровано между вашим телефоном и сайтом. Домашний оператор видит то же самое, когда вы в роуминге.

Безопаснее ли eSIM, чем физическая SIM-карта?

От физической кражи да, потому что нет карты, которую можно вынуть. Во всем остальном они одинаковы, потому что атакуют ваш аккаунт у оператора и ваши пароли, а они не меняются, когда меняется карта.

Глоссарий

eUICC: встроенный чип, на котором хранится eSIM. Аппаратная часть.

Защищенный элемент (secure element): защищенная часть чипа, где хранятся учетные данные, изолированная от остального ПО телефона.

Профиль eSIM: учетные данные оператора, загруженные на чип. Именно они делают ваш телефон абонентом определенной сети.

Удаленная инициализация SIM: определенный GSMA процесс доставки профиля по воздуху.

IMSI: идентификатор абонента, по которому сеть направляет ваши звонки и SMS. Именно его переносит SIM-своп.

SM-DP+: сервер инициализации оператора, адрес, к которому обращается телефон, чтобы получить профиль.

TOTP: меняющийся шестизначный код из приложения-аутентификатора. Поэтому такое приложение лучше противостоит SIM-свопу, чем SMS.