出國用 eSIM 有風險？摸透你的行蹤，eSIM 比你更了解你自己？【新聞實驗室】

eSIM 路徑不透明　潛藏資安風險

eSIM 便宜又方便，簡單幾個步驟就能讓你出國也不斷網，很多人出國都會買，但eSIM安全嗎？判斷風險前，先來看看行動數據怎麼走：

從國外連上網，中間會經過 3 個關鍵節點，可能會各自落在不同國家。第 1 個是基地台，負責讓手機接入行動網路。再來是核心網，第 1 層先連線當地電信的核心網，第 2 層再到主要電信商的核心網路，負責最重要的使用者身分認證、計算流量與費用，並分配 IP。最後是網路出口，負責把資料送進網際網路，讓你能連上網站、App 和各種線上服務，在上面傳輸資料。

基地台和第 1 層核心網一定會在旅遊當地。假設我們人在日本，使用台灣電信商的漫遊，數據會先連日本，接著轉回國內的主核心網，出口通常也會在台灣。

 如果用市售的旅遊 eSIM，同樣會先連日本，但因為不知道背後電信商到底是誰，可能連去中國、香港、新加坡，出口也不知道落在哪，有時候甚至會轉好幾層。國家資通安全研究院研究員戴毓辰說明，不只是 eSIM，實體 SIM 卡與 wifi 機路徑都不透明，也有同樣的風險。「wifi 機裡面其實也是 sim卡，不會知道是哪一家電信商。」

不受台灣法規保護　資料可能繞去中國香港

數據漫遊的風險在哪？台灣網路資訊中心董事長黃勝雄說明，我們買的主核心網最為關鍵，「一旦核網被入侵，結果會非常嚴重，因為從核網可以做各種側錄跟監聽。」然而各個國家法規不一樣，有一些可能政府有權限要求核心網營運商將戶資料交出來。

核心網建置複雜，賣網路給你的人，通常不會有自己的核心網。為了節省成本，很多 eSIM 會連到中國、香港的電信商。戴毓辰解釋，因當地政策推崇，加上規模經濟大，便能以極度便宜有優勢的價格賣給消費者。但原本受台灣法規保護的資料，就會突然受香港的國安法，或中國的網路安全法所控管。

用 eSIM、SIM卡、wifi 機通常不知道核心網在哪，風險最高。國內電信商的漫遊，是你原本就信任的企業、受台灣法律監管，風險最低。如果到當地買那一國的電信商 Sim卡，則取決於當地法規與電信商是否能被信任。

要特別注意的是，有些 eSIM 標榜「原生卡」使用當地電信，但就算手機訊號上有顯示，也只能證明連上當地的基地台。戴毓辰提醒，除非業者揭露完整資訊，背後實際掌管的電信商依舊不明，「你不太好去做驗證，它標榜用當地的原生網路，可是他後面可能還有亂導。」

「中繼資料」難藏　社交與行為全被掌握

把需要保護的資料分為「內容資料」與「中繼資料」：內容資料包含訊息、帳戶、信用卡資料等，傳輸過程會用 https 加密，基本上不容易破解。中繼資料則是一開始說的，行程、上線時間、連到哪個網站、使用哪些服務、用了多少流量等等，因為在路徑上一定會留下足跡，基本上很難藏起來，電信業者一定會掌握到。

核心網能掌握大量、非常關鍵的中繼資料，若把這些資料拼湊後分析，可能會比我們自己還要了解自己。

黃勝雄強調，中繼資料的戰略價值很高，包括跟哪些人通訊、通訊密度、行動軌跡，它可以去勾稽出你的社會圖譜，把能一個人的行為模式跟社交模式整個歸納出來，「雖然並沒有直接看到內容，但能把生活樣態抓得很接近。」

法規不足　資安風險個人承擔

那中繼資料有辦法加密嗎？很多人選擇使用 VPN，確實能將部分傳輸過程和內容加密，讓核心網看不到 VPN 後實際連線的網站或服務，但也代表，風險會轉移到提供 VPN 的公司。戴毓辰提醒，VPN 雖然幫資料做加密，可是你的資料都先送到他那裡，因此 VPN 其實和選 eSIM 一樣，重點在於業者是不是值得信任。

除了選擇值得信任的上網方式，台灣駭客協會理事長翁浩正建議，出國盡量不使用公用 wifi、不連到不明網站，並做好日常的密碼管理和 app更新，才能更整體的確保資料安全。「公用網路比較危險，因為你其實不知道，有沒有其他惡意的人去竊聽你的流量。」如果使用的 eSIM 有下載 app，則要注意 app 是否要求過多權限，也盡量用完直接刪除。

便宜 eSIM 潛藏風險，在規範販售業者或平台的相關法規出爐前，只能先自己做好資安保護。黃勝雄認為，沒有絕對安全跟絕對不安全，現在的法規要去限制 esim 有困難，變成民眾自己要承擔風險，要求廠商要提供產品的揭露。戴毓辰則提醒，「eSIM 賣的便宜，那他賺的就是你的資料」。