Czy eSIM można zhakować?

To rozróżnienie ma znaczenie, bo decyduje, gdzie warto skierować wysiłek. Nic, co zrobisz z samym chipem, nie pomoże. Pomaga zablokowanie konta, które kontroluje twój numer, oraz całkowite przeniesienie kodów chroniących twoje pieniądze poza SMS.

• Chip jest mocny. Dane uwierzytelniające profilu siedzą w odpornym na manipulacje bezpiecznym elemencie (secure element) i nigdy nie są wydawane w odczytywalnej formie.
• Papierologia jest słaba. Numery telefonów przenoszą się między profilami na podstawie nazwiska, adresu i wiarygodnie brzmiącej historii.
• Nagrodą jest numer, a nie dane. Napastnikowi chodzi o kody SMS odbierane przez twój numer — a eSIM tylko do transmisji danych nigdy go nie ma.

Reszta tego przewodnika prowadzi przez cztery miejsca, w które atak może faktycznie trafić, a na końcu znajdziesz checklistę zamykającą to jedno miejsce, które naprawdę ma znaczenie.

„Zhakowanie eSIM” to nie jedna rzecz. To cztery zupełnie różne cele o skrajnie różnym poziomie trudności, a wrzucanie ich do jednego worka sprawia, że ludzie martwią się nie tym, czym trzeba.

Czytaj tę listę w kolejności nakładu wysiłku: napastnik zaczyna od dołu i przesuwa się wyżej tylko wtedy, gdy jest do tego zmuszony. Nikt nie atakuje chipa, skoro wystarczy telefon na infolinię.

Podmiana karty SIM (SIM swap) to kradzież numeru telefonu. Napastnik nigdy nie dotyka twojego telefonu i nie łamie żadnego szyfrowania. Przekonuje twojego operatora, że jest tobą i że potrzebuje przeniesienia usługi na nową kartę SIM albo nowy profil eSIM. Od tego momentu każde połączenie i wiadomość przeznaczone dla ciebie trafiają zamiast tego na jego urządzenie.

1. 01
   Zbiera dane

   Twoje imię i nazwisko, numer, datę urodzenia, adres i ostatnie cztery cyfry karty. Wycieki danych, media społecznościowe i uprzejma rozmowa telefoniczna z tobą dostarczają niemal wszystkiego.

2. 02
   Kontaktuje się z operatorem

   Infolinia, czat albo lada w salonie. Historia jest zwyczajna i nudna: zgubiony telefon, zepsuty aparat, zmiana na nowy model. Zwyczajne i nudne to właśnie to, co zostaje zaakceptowane.

3. 03
   Numer się przenosi

   Twoja linia przestaje działać. Jego ożywa z twoim numerem, zwykle w ciągu kilku minut.

4. 04
   Resetuje, co się da

   E-mail, bank, giełdę, chmurę. Każde „nie pamiętam hasła” wysyła kod SMS-em, a ten SMS trafia teraz na jego telefon.

5. 05
   Opróżnia konta i znika

   Najpierw konta kryptowalutowe, bo te przelewy są nieodwracalne. Cała sekwencja często mieści się w godzinie, nierzadko w nocy.

Uczciwy przewodnik musi powiedzieć to wprost: eSIM nie wymyślił podmiany karty SIM, ale usunął tarcie, które kiedyś ją spowalniało. Nie ma plastikowej karty do wysłania pocztą ani sklepu do odwiedzenia — linia zastępcza to kod QR, wystawiany natychmiast.

• Dostawa jest natychmiastowa. Stary atak wymagał karty w poczcie albo wizyty z fałszywym dowodem osobistym. Nowy potrzebuje tylko adresu e-mail i zrzutu ekranu.
• Skaluje się. Wszystko, co da się sprowadzić do formularza internetowego, można uruchomić na wielu ofiarach naraz, z dowolnego miejsca.
• Ofiara zauważa to później. Podmiana o 3 nad ranem do rana wygląda jak zwykły słaby zasięg, a użyteczne okno dla napastnika liczy się w minutach.
• Portal samoobsługowy stał się celem. Tam, gdzie operator pozwala uruchomić eSIM z poziomu konta online, wystarczy wykraść to logowanie — bez żadnej rozmowy z infolinią.

Nic z tego nie jest argumentem przeciwko eSIM. Ta sama trwałość, która utrudnia przeniesienie profilu, sprawia, że eSIM lepiej znosi kradzież telefonu niż plastik — nie ma tacki do otwarcia spinaczem ani karty do wyjęcia i ponownego użycia.

Nie w żaden sposób, z którym trzeba by się liczyć. To właśnie to pytanie ludzie mają na myśli, gdy pytają, czy eSIM da się zhakować — i to jedyne miejsce, w którym technologia naprawdę trzyma linię obrony.

• Klucze nigdy nie opuszczają chipa. Profil żyje w eUICC, certyfikowanym, odpornym na manipulacje bezpiecznym elemencie. Jego sekrety są używane w jego wnętrzu i nigdy nie są eksportowane w odczytywalnej formie — ani do systemu operacyjnego, ani do aplikacji, ani do ciebie.
• Obie strony dowodzą, kim są. Pobieranie profilu odbywa się kanałem z wzajemnym uwierzytelnieniem: serwer dowodzi swojej tożsamości chipowi, a chip dowodzi swojej serwerowi, używając certyfikatów, których żadna ze stron nie może podrobić.
• Profil jest związany z jednym chipem. Jest zaszyfrowany pod konkretne eUICC. Skopiowanie kodu QR, ciągu aktywacyjnego czy pliku daje napastnikowi jedynie dane, których jego sprzęt nie potrafi otworzyć.
• Kod jest jednorazowy. Gdy profil zostanie już pobrany, jego kod aktywacyjny zostaje zużyty. Zrzut ekranu wyciekły później niczego nie instaluje.

Stare ataki klonowania, które ludzie pamiętają jedynie mgliście, należą do zupełnie innej epoki tej technologii — wymierzone w algorytmy wycofane na długo przed powstaniem eSIM. To historia, nie bieżące ryzyko.

Każdy krok podmiany karty SIM celuje w jeden zasób: numer telefonu, bo to on odbiera kody. Usuń numer, a atak traci przedmiot. Podróżny eSIM tylko do transmisji danych nie ma numeru, nie może odebrać SMS-a i nie jest przypisany do żadnego nazwiska.

To ten sam strukturalny argument, który przewija się przez nasz przewodnik o modelu zagrożeń: usługa, która nigdy niczego nie zbiera, nie może tego wycieknąć, a linia, która nigdy nie miała numeru, nie może mieć go skradzionego. To nie jest obietnica, której ktoś musi dotrzymać — to po prostu brak czegoś.

To ta część, która naprawdę cię chroni, i zajmuje jednorazowo około dwudziestu minut. Przejdź przez listę po kolei — pierwsze dwa punkty blokują atak całkowicie, reszta ogranicza szkody, gdyby coś innego poszło nie tak.

1. 01
   Włącz PIN blokady przenoszenia numeru

   Niemal każdy większy operator oferuje dziś taką opcję, pod nazwą w rodzaju ochrony SIM, blokady numeru albo blokady przeniesienia. Blokuje ona każde przeniesienie twojej linii, dopóki sam go nie zdejmiesz. To pojedynczy przełącznik o najwyższej wartości na tej liście, a zwykle jest domyślnie wyłączony.

2. 02
   Przenieś swoje kody poza SMS

   Przełącz każde konto, na którym ci zależy — najpierw e-mail, potem bank i giełdę — na aplikację uwierzytelniającą albo klucz sprzętowy. Kody SMS to powód, dla którego numery są kradzione; odbierz napastnikowi nagrodę, a atak przestaje się opłacać.

3. 03
   Usuń swój numer jako metodę odzyskiwania konta

   Wiele kont nadal wyśle kod resetujący SMS-em na twój numer, nawet gdy masz włączone uwierzytelnianie dwuskładnikowe w aplikacji — co po cichu przywraca lukę, którą właśnie zamknąłeś. Usuń numer wszędzie tam, gdzie jest to możliwe.

4. 04
   Ustaw prawdziwe hasło do konta u operatora

   Nie imię twojego psa, nie rok urodzenia i nie odpowiedź na pytanie pomocnicze, którą każdy odczyta z twojego profilu. Przechowuj je w menedżerze haseł razem z resztą.

5. 05
   Nie publikuj daty urodzenia ani adresu w publicznych profilach

   To dokładnie te pola, których infolinia używa, by cię zidentyfikować. Każdy opublikowany szczegół to darmowe dane uwierzytelniające dla kogoś, kto zadzwoni, podając się za ciebie.

• Zacznij od e-maila. Kto kontroluje twoją skrzynkę, może zresetować niemal wszystko inne, więc zasługuje na najsilniejszą metodę, jaką jesteś skłonny stosować.
• Wybieraj klucz sprzętowy albo klucz dostępu (passkey) tam, gdzie konto to obsługuje. Żadnego z nich nie da się wyłudzić phishingiem, przekierować ani odczytać z ekranu blokady.
• Zapisz kody zapasowe offline, zanim będą ci potrzebne — na papierze, w miejscu innym niż telefon.
• Za granicą korzystaj z eSIM tylko do transmisji danych, żeby twoja domowa linia spędziła podróż bezczynnie. Linia, z której nikt nie korzysta, to linia, której nikt dla ciebie nie pilnuje, a przy okazji o jedną rejestrację roamingową mniej w kraju, który tylko odwiedzasz.

Podmianę da się przetrwać, jeśli złapiesz ją wcześnie, a wczesny sygnał jest jednoznaczny, gdy tylko wiesz, czego szukać. Telefon nie ostrzeże cię, że twój numer został skradziony. Po prostu przestaje mieć zasięg.

• Nagły napis „Brak usługi” albo SOS na twojej domowej linii, w pomieszczeniu, w którym zasięg zawsze działał, bez żadnej awarii w okolicy.
• Połączenia i SMS-y przestają docierać, podczas gdy aplikacje na Wi-Fi działają normalnie — to znak, że zniknęła linia, a nie internet.
• Wiadomość o zmianie karty SIM albo przeniesieniu numeru, o którą nie prosiłeś. Niektórzy operatorzy taką wysyłają; warto ją przeczytać, a nie zignorować.
• E-maile o resecie hasła, o które nie prosiłeś, zwłaszcza kilka pod rząd w ciągu kilku minut.
• Wylogowanie z kont na urządzeniu, które godzinę wcześniej działało bez zarzutu.

1. 01
   Zadzwoń do operatora z innego telefonu

   Powiedz wprost: „myślę, że padłem ofiarą podmiany karty SIM” i poproś o zamrożenie linii. Liczy się szybkość, nie uprzejmość — każda minuta to kolejny kod resetujący dostarczony komuś innemu.

2. 02
   Najpierw zabezpiecz pieniądze

   Bank, potem każdą giełdę albo portfel z logowaniem powierniczym. Zamroź karty i zatrzymaj przelewy, zanim zajmiesz się porządkowaniem poczty.

3. 03
   Zmień hasła z czystego urządzenia

   Najpierw e-mail, potem wszystko, co korzystało z kodów SMS. Użyj laptopa albo drugiego telefonu, nie aparatu, który właśnie stracił linię.

4. 04
   Odbuduj uwierzytelnianie dwuskładnikowe jak należy

   Gdy odzyskasz numer, przełącz te konta na aplikację uwierzytelniającą albo klucz, żeby ten sam atak nie powtórzył się za miesiąc.

Oszustwa specyficzne dla eSIM, które faktycznie istnieją, nie są atakami na chip. To zwyczajne internetowe przekręty, tylko dostosowane: sklep, który bierze płatność i nic nie dostarcza, kod QR, który instaluje profil od kogoś, kogo sam nie wybrałeś, konto „wsparcia”, które pojawia się w odpowiedziach i oferuje pomoc.

• Skanuj tylko kody, o które sam poprosiłeś. Kod QR z wiadomości, odpowiedzi na forum albo naklejki w hostelu to zaproszenie do zainstalowania profilu kontrolowanego przez obcą osobę. Nie odczyta on twoich pozostałych profili, ale może przenosić twój ruch.
• Traktuj nieużyty kod jak gotówkę. Przed instalacją to voucher na okaziciela — każdy, kto go sfotografuje, może zainstalować pakiet zamiast ciebie. Zainstaluj go od razu, a przestanie to mieć znaczenie.
• Kupuj w prawdziwym sklepie. Odsprzedaż stała się osobną branżą: ten sam pakiet, z podbitą ceną, sprzedawany ze strony podszywającej się pod oryginał, bez możliwości uzyskania później jakiegokolwiek wsparcia.
• Nikt uczciwy nie potrzebuje twojego tokenu. Wsparcie, które prosi o kod będący jednocześnie twoim kontem, nie jest wsparciem. Nasz to ciąg XXXX-XXXX-XXXX-XXXX, który zapisałeś przy rejestracji, i nie powinien być wpisywany nigdzie poza polem logowania.
• Sprawdź domenę, zanim zapłacisz, zwłaszcza na telefonie, gdzie pasek adresu jest w połowie ukryty. Strony płatności nie bez powodu są najczęściej klonowanymi stronami w internecie.

Ta sama uczciwość, którą stosujemy wobec prywatności, obowiązuje i tutaj. Usunięcie numeru telefonu całkowicie eliminuje jedną kategorię ataków, a resztę zostawia dokładnie tam, gdzie była.

• Zainfekowane urządzenie zostaje zainfekowane. Złośliwe oprogramowanie widzące twój ekran odczyta kody z aplikacji uwierzytelniającej równie łatwo, jak wiadomości tekstowe. Żadna technologia SIM tego nie naprawi.
• Phishing wciąż działa. Najczęstsze przejęcie konta to nadal ktoś wpisujący prawdziwe hasło na przekonującej fałszywej stronie. Klucze dostępu i klucze sprzętowe go pokonują; eSIM do transmisji danych — nie.
• Sieć wciąż widzi kształt twojego ruchu. Anonimowy zakup to nie to samo co szyfrowany transport — pełny wywód znajdziesz w tym, co ukrywa anonimowy eSIM, a czego nie.
• Twój sprzęt wciąż da się zidentyfikować. Telefony zgłaszają się do nadajników niezależnie od tego, jaki profil jest zainstalowany, co opisuje przewodnik o namierzaniu.
• Niezaufane sieci wciąż są niezaufane. Zabezpieczona linia nic nie zmienia w kwestii hotelowego Wi-Fi, do którego dołączysz zaraz potem — to ryzyko ma własny przewodnik.

Mówiąc wprost: eSIM tylko do transmisji danych usuwa zasób, na który polują sprawcy podmiany SIM, a blokada przenoszenia numeru chroni numer, który wciąż zachowujesz. Razem zamykają lukę, która kosztuje ludzi prawdziwe pieniądze. Jeśli chcesz już dziś załatwić samo połączenie, pakiety dla poszczególnych krajów znajdziesz na stronie kierunków, a zakup zajmuje około pięciu minut i odbywa się bez nazwiska, e-maila i karty.