要点速览
eSIM 是内置在手机里的芯片，小偷无法把它取出来，所以被盗的手机通常仍会保持联网，你可以远程定位、锁定或抹掉它。不过，骗子仍可能试图夺走你的号码，最常见的手法是说服运营商把号码转到他们控制的 SIM 卡上（即 SIM 卡劫持），或者给你发送虚假的 eSIM 激活链接，一点击就会把号码转到他们的手机上。要保护自己，请给运营商账户设置 PIN 码，用身份验证器应用代替短信验证码，并且只通过服务商自己的应用或官网安装 eSIM。
eSIM 是什么，又是如何受到保护的
eSIM 的技术名称是 eUICC，即“嵌入式通用集成电路卡”（embedded universal integrated circuit card）。它是一枚出厂时就焊在手机里的防篡改小芯片，和塑料 SIM 卡不同，它不会一辈子绑定在某一家运营商（你的手机运营商或 eSIM 服务商）上。它可以存储多个运营商配置文件，并在几秒钟内下载新的配置文件。
这个下载过程叫作远程 SIM 配置，是 GSMA 在 eSIM 规范中定义的流程。在任何内容进入你的手机之前，设备和运营商的配置服务器会交换证书、互相验证，然后配置文件会专门针对这一枚芯片加密。配置文件存放在安全元件（secure element）中，这是芯片里一块受保护的区域，手机上的其他软件无法读取。
阿尔托大学的研究人员对 eSIM 下载协议进行了建模，寻找攻击者可能入侵的途径。根据 GSMA 公布的研究结果，该协议足以抵御黑客攻击。分析中发现的弱点，全都以配置服务器或芯片在下载前就已被攻破为前提。
eSIM 与实体 SIM 卡：哪些变了，哪些没变
情况 | 实体 SIM 卡 | eSIM |
|---|---|---|
有人偷走手机，把 SIM 卡插进自己的设备 | 可能，卡可以拔出来 | 不可能，芯片是焊死的 |
物理接触后克隆 SIM 卡 | 旧款卡上已知的攻击方式 | 没有可拔出或复制的卡 |
SIM PIN 码保护 | 有 | 有（手机支持时） |
手机恢复出厂设置时是否清除 | 只有拔卡才会清除 | 可在设置中清除，也可特意保留 |
换新手机 | 把卡换过去 | 转移配置文件 |
你的手机号码和运营商账户 | 不变 | 不变 |
手机连接的网络 | 不变 | 不变 |
流量加密 | 不变 | 不变 |
美国联邦通信委员会（FCC）在其 eSIM 指南中把实际差别说得很清楚：不偷走手机，就偷不走 eSIM。而实体 SIM 卡确实会被人从丢失的手机里取出来，用于窃取个人信息和你的号码。
eSIM 能防范 SIM 卡劫持、网络钓鱼和其他诈骗吗？
eSIM 挡不住这些诈骗，实体 SIM 卡同样挡不住，因为它们针对的是你的账户，而不是你的手机。
SIM 卡劫持
在 SIM 卡劫持中，骗子冒充你，通常通过客服说服运营商把你的号码转到他们控制的 SIM 卡上。从那以后，你的电话和短信都会发到他们那里，包括银行和邮箱的一次性验证码。
“小偷拿走你的手机后，可以拔出实体 SIM 卡，插进另一部手机，开始接收你的来电，以及银行登录、双重验证和密码重置所用的短信验证码。而使用 eSIM 时，配置文件锁定在手机的安全硬件中。由于小偷无法取出 eSIM，手机通常会保持联网，所以‘查找我的 iPhone’（Find My iPhone）或‘查找我的设备’（Find My Device）仍然可以定位、锁定或抹掉手机。拔出实体 SIM 卡往往是小偷让手机断网的第一步。”
Asım Alp，Roamless 联合创始人兼首席技术官（拥有 15 年以上电信行业经验）
还有一种专门针对 eSIM 用户的手法。骗子冒充你的运营商打电话或发短信，附上一个“激活” eSIM 的链接，一旦点击，你的号码就会转到他们的手机上。
运营商在转移你的号码之前需要做多少核验，取决于你所在的地区：
地区 | 相关规定 |
|---|---|
美国 | FCC 于 2023 年通过了相关规定，要求运营商在转移号码前以安全方式核验你的身份，并在有人尝试转移时通知你。2024 年 7 月，运营商获得了更长的合规期限。 |
澳大利亚 | 自 2022 年 6 月 30 日起，电信公司在换卡前必须进行多因素核验，例如核对个人信息并加上一次性验证码。核验记录也必须保存至少一年。 |
加拿大 | 加拿大广播电视和电信委员会（CRTC）在 2020 年和 2023 年两次要求运营商提供数据，涉及未经授权的换卡和携号转网。2026 年 7 月，它修改了携号转网流程：在原运营商确认转移之前，新运营商无法激活你的号码。 |
英國 | 监管机构没有专门针对 SIM 卡劫持的规定。不过，各移动网络运营商于 2025 年 11 月与政府签署了一份反欺诈章程，承诺采取共同措施防范账户被盗，例如在转移账户前进行双重验证。 |
欧盟 | 欧盟没有统一规定，但意大利等部分国家有自己的规定。 |
无论你身在何处，都可以问问运营商：把号码转到新设备之前，他们会核验哪些信息。
网络钓鱼
很多诈骗都始于网络钓鱼。骗子会发送看似来自你信任的公司（比如银行或运营商）的邮件和短信，骗取你的密码或账户信息。实施 SIM 卡劫持的人也会对运营商员工进行网络钓鱼，以获取你账户的访问权限（FBI）。
AI 诈骗
AI 让冒充他人变得更容易。已经出现过犯罪分子用克隆声音进入他人银行账户、用 AI 生成的假证件通过身份核验的案例（FBI）。
防范这些诈骗，你可以这样做：
给运营商账户设置 PIN 码或密码，绝不要告诉打电话来索要的人。
询问运营商是否提供号码锁定或携号转网冻结服务，如果有就开启。
尽量用身份验证器应用代替短信验证码，并把备用验证码存放在没有手机也能拿到的地方。
不要点击意外收到的消息里的链接，自己打开该公司的应用或网站。
如果来电要求你转账或提供验证码，先挂断，再拨打你自己查到的号码回电。
和家人约定一个暗号或秘密问题，确认电话那头真的是他们。
eSIM 会被黑客攻破吗？
理论上可以，但目前唯一公开的针对消费级 eSIM 芯片的攻击，需要攻击者亲手拿到芯片。
2025 年，研究实验室 Security Explorations 通过一个测试配置文件攻破了一枚 Kigen eSIM 芯片，并提取出用于识别该芯片的密钥，从而能够从移动运营商处下载 eSIM 配置文件。
但要重现这样的攻击，既需要芯片本身，也需要测试配置文件的访问代码，而且此后已经采取措施让攻击更加困难。Kigen 已经修补了漏洞，GSMA 也修改了规则，堵住了同样的攻击路径。
eSIM 服务商能看到什么
旅行 eSIM 是一种漫游产品。你的数据依据漫游协议经由当地网络传输，由服务商负责转发，因此服务商能看到任何移动运营商对任何用户都能看到的信息：
你连接过哪些基站
大致的时间和地点
你用了多少流量
你连接过哪些服务器
它看不到的是内容，因为内容在你的手机与你所用的应用或网站之间是加密的。如果你使用本国运营商的国际漫游套餐，运营商能看到的范围也完全一样。
用 eSIM 办理银行业务和双重验证
旅行 eSIM 只提供流量，没有手机号码，无法接听普通电话或接收短信验证码。
如果你希望在国外也能正常使用银行业务和一次性密码（OTP）：
保持国内 SIM 卡开启，但关闭数据漫游，这样短信和一次性验证码仍会发到你常用的号码上，也不会产生漫游费用。
把旅行 eSIM 设为蜂窝数据线路。
出发前把重要账户切换到身份验证器应用，并保存好备用验证码。
如果银行提供相关服务，提前告知你要出行，因为从陌生国家登录可能会触发账户冻结。
如果你想无论在国内还是国外都能接听电话、接收短信验证码，也可以直接办一个既不需要实体 SIM 卡也不需要 eSIM 的电话号码。
办理银行业务时，请使用移动数据而不是公共 WiFi。机场和酒店的 WiFi 是共享的，无人管理，而且很容易被仿冒。蜂窝网络流量在你的手机和运营商设备之间是加密的，也不存在别人可以加入的共享网络。
如何选择值得信赖的 eSIM 服务商
和技术安全同样重要的，是你能在多大程度上信任一家 eSIM 服务商。这通常取决于服务商在收费和数据收集方面是否透明、公道。首先检查这家 eSIM 服务商是否：
告诉你它使用哪些当地网络。覆盖和网速取决于网络，这才是你真正花钱买的东西。
如实说明网速限制和合理使用上限，免得旅途中流量在没有提醒的情况下突然变慢。
清楚说明流量何时过期。否则，你可能会失去已经付过钱的流量。
提供容易联系的客服和清晰的退款政策，以防 eSIM 无法安装或连接。
通过自己的官网或应用直接销售。这样你的二维码是全新的，也能获得服务商的支持。
只申请必要的应用权限，因为多出来的权限意味着它在收集不需要的数据。
如果一家 eSIM 服务商让这些信息很难找到，不妨考虑别家。
中国大陆的手机支持 eSIM 吗？
不一定，所以在购买旅行 eSIM 之前请先检查你的手机。许多在中国大陆销售的 iPhone 使用双实体 SIM 卡而不是 eSIM，包括 iPhone 11 至 17 机型。中国三大运营商直到 2025 年 10 月才开始为智能手机提供 eSIM 服务，由中国移动、中国联通和中国电信进行试点。在 iPhone 上，你可以打开“设置”>“蜂窝网络”，看看有没有“添加 eSIM”选项，以此检查是否支持 eSIM。
一张全球 eSIM，走到哪里都能用
Roamless 全球 eSIM 覆盖 200 多个目的地，只需安装一次，跨越国境也能继续使用。Roamless 积分永不过期，因此你购买的流量随时可用，无论是在国内还是下一次旅行。
eSIM 安全常见问题
eSIM 会被黑客攻破吗？
从技术上讲，eSIM 可以被攻破，但这种事发生在你身上的可能性极低。唯一公开的消费级 eSIM 芯片攻击案例，是研究实验室 Security Explorations 在 2025 年完成的，前提是攻击者手中握有芯片并掌握一组访问代码。芯片制造商 Kigen 此后已发布补丁（Security Explorations、Kigen）。真正的风险是针对你账户的诈骗，比如 SIM 卡劫持和网络钓鱼，而这些诈骗对 eSIM 和实体 SIM 卡同样有效。
eSIM 能被克隆吗？
正常使用时不能。eSIM 在下载时就针对你手机里的那一枚芯片加密。在唯一公开的研究人员复制 eSIM 配置文件的案例中，他们首先得攻破一枚实际握在手中的芯片（Security Explorations）。
eSIM 会被追踪吗？
和实体 SIM 卡一样。任何开机并连接移动网络的手机，无论使用哪种 SIM 卡，运营商都能根据它连接的基站大致定位（EFF）。
用 eSIM 办理网上银行安全吗？
安全，而且蜂窝网络连接比公共 WiFi 更安全。只有流量的旅行 eSIM 无法接收短信验证码，所以出发前请保持国内号码可用，或把账户切换到身份验证器应用。
有什么理由不用 eSIM 吗？
有三个实际原因。手机坏了的话，你没法像拔卡那样把芯片移到备用手机上。有些配置文件限制重新安装的次数。另外，少数国家到了当地再买会比较麻烦。
哪些国家不允许使用 eSIM？
eSIM 在大多数国家都能使用，但少数国家会限制购买或使用方式。在土耳其，许多国际 eSIM 服务商的网站和应用都被屏蔽了。不过旅行 eSIM 通过当地网络连接，所以抵达土耳其之前就安装好的 eSIM 可以正常使用。在俄罗斯，据报道，包括 eSIM 在内的外国 SIM 卡在入境后 24 小时内会被切断移动数据。而在中国大陆销售的手机直到 2025 年 10 月才开始支持 eSIM，所以如果你的手机是在那里买的，请确认它是否支持 eSIM。
手机丢失或被盗，我的 eSIM 会怎样？
配置文件无法从设备中取出，远程抹掉手机时它会和其他数据一起被删除，不过你也可以选择在抹掉手机时保留 eSIM。同时请致电运营商暂停线路，因为攻击者真正想要的是你的账户。
eSIM 服务商能看到我浏览了什么吗？
它能看到任何移动运营商都能看到的信息：流量大小、时间、大致位置以及你连接过的服务器。它看不到内容，因为内容在你的手机和网站之间是加密的。你漫游时，国内运营商看到的也是同样的信息。
eSIM 比实体 SIM 卡更安全吗？
在防盗方面更安全，因为没有可以拔出来的卡。在其他方面两者一样，因为被攻击的是你的运营商账户和密码，而这些不会因为换了卡就改变。
术语表
eUICC：eSIM 所在的内置芯片，也就是硬件。
安全元件（secure element）：芯片中存储凭证的受保护区域，与手机上的其他软件隔离。
eSIM 配置文件：下载到芯片上的运营商凭证，让你的手机成为某个网络的用户。
远程 SIM 配置：GSMA 定义的通过无线方式下发配置文件的流程。
IMSI：网络用来转发你的电话和短信的用户身份标识，也就是 SIM 卡劫持所转移的东西。
SM-DP+：运营商的配置服务器，即手机获取配置文件时连接的地址。
TOTP：身份验证器应用中不断变化的六位数验证码，这也是它比短信更能抵御 SIM 卡劫持的原因。
