eSIM Güvenli mi? Güvenlik, Riskler ve Bilinmesi Gerekenler

Kısaca

eSIM, telefonunuza gömülü bir çip olduğu için hırsız onu çıkaramaz; bu da çalınan bir telefonun genellikle ağa bağlı kaldığı ve uzaktan bulunabileceği, kilitlenebileceği ya da silinebileceği anlamına gelir. Dolandırıcılar yine de numaranızı ele geçirmeye çalışabilir; bunu çoğunlukla operatörünüzü numaranızı kendi kontrollerindeki bir SIM'e taşımaya ikna ederek (SIM swap) ya da size numaranızı kendi telefonlarına taşıyan sahte bir eSIM etkinleştirme bağlantısı göndererek yaparlar. Korunmak için operatörünüzde bir PIN belirleyin, SMS kodları yerine bir doğrulama uygulaması kullanın ve eSIM'i yalnızca sağlayıcınızın kendi uygulamasından ya da web sitesinden kurun.

eSIM nedir ve nasıl korunur?

eSIM'in teknik adı eUICC'dir, yani İngilizce "embedded universal integrated circuit card" (gömülü evrensel entegre devre kartı). Telefonunuza zaten lehimlenmiş, kurcalamaya dayanıklı küçük bir çiptir ve plastik SIM kartın aksine ömür boyu tek bir operatöre (mobil operatörünüze ya da bir eSIM sağlayıcısına) bağlı değildir. Birden fazla operatör profili barındırabilir ve saniyeler içinde yenilerini indirebilir.

Bu indirme işlemine uzaktan SIM tanımlama denir ve GSMA'nın eSIM spesifikasyonlarında tanımlanmıştır. Telefonunuza herhangi bir şey gelmeden önce cihaz ile operatörün tanımlama sunucusu sertifika alışverişi yapar ve birbirini doğrular. Ardından profil yalnızca o çip için şifrelenir. Profil, çipin telefondaki diğer yazılımların okuyamadığı korumalı bölümü olan güvenli öğeye (secure element) yerleşir.

Aalto Üniversitesi'ndeki araştırmacılar eSIM indirme protokolünü modelledi ve bir saldırganın içeri sızabileceği yolları araştırdı. GSMA'nın yayımladığı sonuçlara göre protokol, bilgisayar korsanlarına karşı yeterince korunuyor. Analizin ortaya çıkardığı zayıf noktaların hepsi, tanımlama sunucusunun ya da çipin indirmeden önce zaten ele geçirilmiş olmasını varsayıyor.

eSIM ve fiziksel SIM: neler değişir, neler değişmez?

FCC, eSIM rehberinde pratikteki farkı açıkça ortaya koyuyor: Telefonu çalmadan eSIM'i çalamazsınız. Fiziksel SIM kartlar ise kaybolan telefonlardan gerçekten çıkarılıyor ve kişisel verileri ve numaranızı çalmak için kullanılıyor.

eSIM'ler SIM swap, kimlik avı ve diğer dolandırıcılıklara karşı güvenli mi?

eSIM bu dolandırıcılıkları durduramaz, fiziksel SIM de durduramaz, çünkü bunlar telefonunuzu değil hesaplarınızı hedef alır.

SIM swap

SIM swap'te bir dolandırıcı kendini siz gibi tanıtır ve genellikle müşteri hizmetleri üzerinden operatörünüzü numaranızı kendi kontrolündeki bir SIM'e taşımaya ikna eder. O andan itibaren aramalarınız ve mesajlarınız, bankanızın ve e-postanızın tek kullanımlık kodları da dahil, ona gider.

"Telefonunuzu alan bir hırsız fiziksel SIM'i çıkarıp başka bir telefona takabilir ve banka girişleri, iki adımlı doğrulama ve şifre sıfırlama için aramalarınızı ve SMS kodlarınızı almaya başlayabilir. eSIM'de ise profil telefonun güvenli donanımına kilitlidir. Hırsız eSIM'i çıkaramadığı için telefon genellikle şebekeye bağlı kalır, böylece Bul (Find My iPhone) ya da Cihazımı Bul hâlâ telefonu bulabilir, kilitleyebilir veya silebilir. Fiziksel SIM'i çıkarmak, bir hırsızın telefonu çevrimdışı bırakmak için genellikle ilk yaptığı şeydir."

Asım Alp, Roamless Kurucu Ortağı ve CTO'su (telekomünikasyon sektöründe 15 yılı aşkın deneyim)

Doğrudan eSIM kullanıcılarını hedef alan bir türü de var. Kendini operatörünüz gibi tanıtan dolandırıcılar, bir eSIM'i "etkinleştirmeniz" için bağlantı içeren bir arama yapar ya da mesaj gönderir. Bağlantıya tıkladığınızda numaranız onların telefonuna taşınır.

Operatörünüzün numaranızı taşımadan önce ne kadar kontrol yapması gerektiği nerede yaşadığınıza bağlıdır:

Nerede olursanız olun, operatörünüze numaranızı yeni bir cihaza taşımadan önce neleri kontrol ettiğini sorun.

Kimlik avı (phishing)

Pek çok dolandırıcılık kimlik avıyla başlar. Dolandırıcılar şifrelerinizi ya da hesap bilgilerinizi ele geçirmek için bankanız veya operatörünüz gibi güvendiğiniz bir şirketten geliyormuş gibi görünen e-postalar ve mesajlar gönderir. SIM swap yapanlar da hesabınıza erişmek için operatör çalışanlarına kimlik avı uygular (FBI).

Yapay zekâ dolandırıcılıkları

Yapay zekâ, başkasının kılığına girmeyi daha da kolaylaştırıyor. Suçluların klonlanmış seslerle insanların banka hesaplarına girdiği ve yapay zekâyla üretilmiş sahte kimliklerle kimlik doğrulamalarını geçtiği vakalar yaşandı (FBI).

Tüm bu dolandırıcılıklardan korunmak için:

• Operatörünüzde hesabınız için bir PIN ya da şifre belirleyin ve sizi arayıp bunu soran hiç kimseye vermeyin.

• Operatörünüzün numara kilidi ya da taşıma engeli sunup sunmadığını sorun ve varsa açın.

• Mümkün olan her yerde SMS kodları yerine bir doğrulama uygulaması kullanın ve yedek kodları telefonunuz olmadan da ulaşabileceğiniz bir yerde saklayın.

• Beklemediğiniz mesajlardaki bağlantıları kullanmayın. Bunun yerine şirketin uygulamasına ya da web sitesine kendiniz gidin.

• Bir arama sizden para ya da kod istiyorsa telefonu kapatın ve kendi bulduğunuz bir numaradan geri arayın.

• Telefondakinin gerçekten aileniz olduğunu doğrulayabilmek için onlarla gizli bir kelime ya da soru belirleyin.

eSIM hacklenebilir mi?

Teoride eSIM hacklenebilir, ancak tüketici eSIM çipine yönelik yayımlanmış tek saldırıda çipin saldırganların elinde olması gerekti.

2025'te araştırma laboratuvarı Security Explorations, bir test profili üzerinden Kigen marka bir eSIM çipine sızdı. Laboratuvar çipi tanımlayan anahtarı ele geçirdi ve bununla mobil operatörlerden eSIM profilleri indirebildi.

Ancak böyle bir saldırıyı tekrarlamak için hem çip hem de test profilinin erişim kodları gerekir ve o zamandan beri saldırıyı daha da zorlaştıracak adımlar atıldı. Kigen açığı kapattı ve GSMA aynı yolu engellemek için kurallarını değiştirdi.

eSIM sağlayıcınız neleri görebilir?

Seyahat eSIM'i bir roaming ürünüdür. Verileriniz bir roaming anlaşması kapsamında yerel bir şebeke üzerinden gider ve sağlayıcınız bu trafiği yönlendirir. Bu da ona herhangi bir mobil operatörün herhangi bir müşterisi hakkında sahip olduğu görünürlüğü verir:

• Hangi baz istasyonlarını kullandığınız

• Yaklaşık olarak ne zaman ve nerede olduğunuz

• Ne kadar veri kullandığınız

• Hangi sunuculara bağlandığınız

İçerikleri ise göremez, çünkü bunlar telefonunuz ile kullandığınız uygulama ya da site arasında şifrelidir. Kendi operatörünüzün yurt dışı paketleriyle roaming yaptığınızda operatörünüz de tam olarak aynı şeyleri görür.

eSIM'i bankacılık ve iki adımlı doğrulama için kullanmak

Seyahat eSIM'leri yalnızca veri içindir, yani telefon numarası yoktur ve normal arama ya da SMS kodu alamaz.

Yurt dışında bankacılık işlemlerinin ve tek kullanımlık şifrelerin (OTP) çalışmaya devam etmesini istiyorsanız:

• Kendi SIM'inizi veri roaming'i kapalı olarak aktif tutun. Böylece mesajlar ve tek kullanımlık kodlar roaming faturası olmadan her zamanki numaranıza gelmeye devam eder.

• Seyahat eSIM'ini mobil veri hattı olarak ayarlayın.

• Önemli hesaplarınızı yola çıkmadan önce bir doğrulama uygulamasına taşıyın ve yedek kodları kaydedin.

• Bankanız bu seçeneği sunuyorsa seyahat ettiğinizi bildirin, çünkü alışılmadık bir ülkeden yapılan giriş bir engellemeyi tetikleyebilir.

• Evde ya da yurt dışında, her yerde arama ve SMS kodu almak istiyorsanız fiziksel SIM'e ya da eSIM'e ihtiyaç duymayan bir telefon numarası da edinebilirsiniz.

Bankacılık işleminin kendisi için halka açık WiFi yerine mobil veri kullanın. Havalimanı ve otel WiFi'ları ortak kullanılır, kimse tarafından yönetilmez ve kolayca taklit edilebilir. Hücresel trafik telefonunuz ile operatörün ekipmanı arasında şifrelidir ve başkasının katılabileceği ortak bir ağ yoktur.

Güvenebileceğiniz bir eSIM sağlayıcısı nasıl seçilir?

Teknik güvenlik kadar önemli olan bir diğer konu da bir eSIM sağlayıcısına ne kadar güvenebileceğinizdir. Bu genellikle sağlayıcının sizden aldığı ücret ve topladığı veriler konusunda ne kadar şeffaf ve adil olduğuna bağlıdır. İşe eSIM sağlayıcısının şunları yapıp yapmadığını kontrol ederek başlayın:

• Hangi yerel şebekeleri kullandığını söylüyor mu? Kapsama ve hız şebekeye bağlıdır, yani asıl parasını ödediğiniz şey budur.

• Hız ve adil kullanım sınırları konusunda açık mı? Böylece seyahatin ortasında haber verilmeden yavaşlayan veriyle karşılaşmazsınız.

• Verinizin ne zaman sona erdiğini açıkça belirtiyor mu? Aksi takdirde parasını ödediğiniz veriyi kaybedebilirsiniz.

• eSIM'iniz kurulmazsa ya da bağlanmazsa diye kolay ulaşılabilir bir müşteri hizmetleri ve net bir iade politikası sunuyor mu?

• Doğrudan kendi web sitesi ya da uygulaması üzerinden satış yapıyor mu? Böylece QR kodunuz yenidir ve sağlayıcının desteğiyle gelir.

• Yalnızca ihtiyaç duyduğu uygulama izinlerini mi istiyor? Fazlası, ihtiyacı olmayan verileri topladığı anlamına gelir.

Bir eSIM sağlayıcısı bu bilgileri bulmayı zorlaştırıyorsa başka bir yere bakmayı düşünün.

eSIM Türkiye'de çalışır mı?

Evet, ancak eSIM'inizi Türkiye'ye gitmeden önce satın alıp kurun. Temmuz 2025'ten bu yana Türkiye'nin telekom düzenleyicisi BTK, Türkiye içinden en az 37 uluslararası eSIM sağlayıcısının web sitelerine ve uygulamalarına erişimi engelliyor. Bununla birlikte, Türkiye'ye gelmeden önce kurduğunuz uluslararası bir eSIM yerel şebekeler üzerinden bağlanır ve normal şekilde çalışır.

Nerede olursanız olun tek global eSIM

Roamless'ın global eSIM'i 200'den fazla destinasyonda geçerli. Bir kez kurarsınız ve sınırları geçerken çalışmaya devam eder. Kredileriniz hiçbir zaman sona ermediği için satın aldığınız veri, evde ya da bir sonraki seyahatinizde, ihtiyaç duyduğunuz her an hazır olur.

eSIM güvenliği hakkında sık sorulan sorular

eSIM'ler hacklenebilir mi?

Teknik olarak bir eSIM'i hacklemek mümkün, ancak bunun sizin başınıza gelmesi çok düşük bir ihtimal. Tüketici eSIM çipine yönelik yayımlanmış tek saldırı, 2025'te araştırma laboratuvarı Security Explorations tarafından gerçekleştirildi ve çipin saldırganların elinde olmasını ve bir dizi erişim kodunu gerektirdi. Çipin üreticisi Kigen o zamandan beri bir yama yayımladı (Security Explorations, Kigen). Asıl riskler, SIM swap ve kimlik avı gibi hesaplarınızı hedef alan ve eSIM'de de fiziksel SIM'de de aynı şekilde işleyen dolandırıcılıklardır.

eSIM kopyalanabilir mi?

Normal kullanımda hayır. Bir eSIM indirildiğinde, telefonunuzdaki tek çip için şifrelenir. Araştırmacıların eSIM profillerini kopyaladığı yayımlanmış tek vakada, önce ellerinde fiziksel olarak bulunan bir çipe sızmaları gerekti (Security Explorations).

eSIM takip edilebilir mi?

Fiziksel bir SIM'den daha fazla değil. Açık ve bir mobil şebekeye bağlı her telefon, içinde hangi tür SIM olursa olsun, kullandığı baz istasyonlarından operatör tarafından yaklaşık olarak konumlandırılabilir (EFF).

eSIM internet bankacılığı için güvenli mi?

Evet, ve bunun için hücresel bağlantı halka açık WiFi'dan daha güvenlidir. Yalnızca veri içeren bir seyahat eSIM'i SMS kodu alamaz, bu yüzden kendi hattınızı ulaşılabilir tutun ya da yola çıkmadan önce hesaplarınızı bir doğrulama uygulamasına taşıyın.

eSIM kullanmamak için bir neden var mı?

Üç pratik neden var. Telefonunuz bozulursa, bir kartı çıkarıp takar gibi çipi yedek bir telefona taşıyamazsınız. Bazı profiller kaç kez yeniden kurulabileceğini sınırlar. Ve birkaç ülkede, oraya vardıktan sonra eSIM satın almak zordur.

Hangi ülkeler eSIM'e izin vermiyor?

eSIM'ler çoğu ülkede çalışır, ancak birkaç ülke eSIM'i nasıl satın alıp kullanabileceğinizi sınırlar. Türkiye'de pek çok uluslararası eSIM sağlayıcısının web siteleri ve uygulamaları engelli. Yine de seyahat eSIM'leri yerel şebekeler üzerinden bağlandığı için Türkiye'ye gelmeden önce kurduğunuz bir eSIM normal şekilde çalışır. Rusya'da, bildirildiğine göre, eSIM'ler dahil yabancı SIM kartlarda mobil veri ülkeye vardıktan sonra 24 saat kesiliyor. Çin anakarasında satılan telefonlar ise eSIM desteğine ancak Ekim 2025'te kavuştu, yani telefonunuzu oradan aldıysanız eSIM desteklediğini kontrol edin.

Telefonum kaybolursa ya da çalınırsa eSIM'ime ne olur?

Profil cihazdan çıkarılamaz ve uzaktan silme işlemi onu diğer her şeyle birlikte siler, ancak telefonu sıfırlarken eSIM'i korumayı seçebilirsiniz. Hattı askıya aldırmak için operatörünüzü de arayın, çünkü bir saldırganın peşine düşeceği şey hesaptır.

eSIM sağlayıcım internette ne yaptığımı görebilir mi?

Herhangi bir mobil operatörün gördüklerini görür: veri miktarları, zamanlar, yaklaşık konum ve bağlandığınız sunucular. İçerikleri göremez, çünkü bunlar telefonunuz ile site arasında şifrelidir. Kendi operatörünüz de roaming yaptığınızda aynı şeyleri görür.

eSIM fiziksel SIM'den daha mı güvenli?

Fiziksel hırsızlığa karşı evet, çünkü çıkarılacak bir kart yoktur. Diğer her konuda ikisi aynıdır, çünkü saldırıya uğrayan şey operatör hesabınız ve şifrelerinizdir ve bunlar kart değişince değişmez.

Sözlükçe

eUICC: eSIM'in bulunduğu gömülü çip. Yani donanım.

Güvenli öğe (secure element): Kimlik bilgilerinin saklandığı, telefonun diğer yazılımlarından ayrılmış korumalı çip bölümü.

eSIM profili: Çipe indirilen operatör kimlik bilgileri. Telefonunuzu belirli bir şebekenin müşterisi yapan şey.

Uzaktan SIM tanımlama: Bir profilin kablosuz olarak iletilmesi için GSMA tarafından tanımlanan süreç.

IMSI: Şebekenin aramalarınızı ve mesajlarınızı yönlendirmek için kullandığı abone kimliği. SIM swap'in taşıdığı şey budur.

SM-DP+: Operatörün tanımlama sunucusu, yani telefonunuzun bir profili almak için bağlandığı adres.

TOTP: Bir doğrulama uygulamasındaki, sürekli değişen altı haneli kod. SIM swap'e karşı SMS'ten daha dayanıklı olmasının nedeni budur.