eSIM 会被黑吗？

这个区分很重要，因为它决定了你的精力该往哪儿使。不管你在芯片上做什么都没用。真正有用的，是锁紧控制着你号码的那个账户，并把守护你钱财的验证码彻底从短信上挪开。

• 芯片很强。配置文件的凭证存放在防篡改的安全元件里，从不会以可读形式对外发放。
• 纸面手续很弱。电话号码能不能在配置文件之间转移，靠的只是一个姓名、一个地址，和一个听起来还算靠谱的说法。
• 攻击者要的是号码，不是数据。攻击者想要的是你号码能收到的短信验证码——而这恰恰是纯数据 eSIM从来就没有的东西。

这篇指南接下来会依次讲清楚攻击真正可能落地的四个地方，最后给你一份能堵上真正要害的清单。

“黑掉一个 eSIM”并不是单一的一件事。它其实是四个难度天差地别的不同目标，把它们混为一谈，正是人们最后担心错方向的原因。

按攻击难度从低到高读这份清单：攻击者从最底下开始，只有被逼无奈才会往上走。既然打一通电话给客服就能得手，没有人会去攻击芯片。

SIM 卡劫持偷的是一个电话号码。攻击者从不碰你的手机，也不破解任何加密。他们说服你的运营商相信自己就是你本人，需要把服务转移到一张新的 SIM 卡或新的 eSIM 配置文件上。从那一刻起，所有原本打给你、发给你的电话和短信，都会转而在他们的设备上响起。

1. 01
   收集你的资料

   姓名、号码、出生日期、地址，还有银行卡末四位。数据泄露资料、社交媒体，再加上一通对你套近乎的电话，几乎就能凑齐这一切。

2. 02
   联系运营商

   客服热线、在线聊天，或是门店柜台。说辞平淡无奇：手机丢了、摔坏了、要办理升级。越平淡无奇，就越容易获批。

3. 03
   号码转移

   你的手机没了信号，对方的手机则带着你的号码活了过来——通常只需几分钟。

4. 04
   能重置的都重置一遍

   邮箱、银行、交易所、云存储——每一次“忘记密码”都会通过短信发送验证码，而这条短信现在会发到他们的手机上。

5. 05
   转空账户，然后消失

   最先下手的是加密货币账户，因为转账一旦发出就无法撤回。整个流程往往在一小时内完成，而且常常发生在深夜。

诚实地说：eSIM 并没有发明 SIM 卡劫持，但它确实抽掉了曾经拖慢这种攻击的那些摩擦力。不用寄一张塑料卡，也不用跑一趟门店——替换线路就是一个二维码，即时签发。

• 送达是即时的。过去的攻击需要一张寄来的卡，或者拿假证件上门办理；现在只需要一个邮箱地址和一张截图。
• 可以规模化复制。只要能简化成一张网页表单的攻击，就能从任何地方同时对付大量受害者。
• 受害者会更晚才察觉。凌晨三点发生的劫持，在天亮之前看起来只像是信号不好，而攻击者能利用的窗口以分钟计算。
• 自助服务平台本身也成了目标。只要运营商允许你从在线账户直接开通 eSIM，偷到那个登录信息就够了——根本不需要跟客服通话。

这些都不构成反对 eSIM 的理由。配置文件之所以难以转移，靠的是同一种“固定性”——这也是为什么被盗手机里的 eSIM 没法像实体卡一样被取出：没有卡槽可以用回形针撬开，也没有卡片能抽出来重复使用。

不会，至少不存在你需要提防的克隆方式。这其实才是大多数人问“eSIM 会不会被黑”时真正想问的问题，也是这项技术真正站得住脚的地方。

• 密钥从不离开芯片。配置文件保存在 eUICC 里，那是一块经过认证、防篡改的安全元件。它的密钥只在内部使用，从不会以可读形式导出——不导给操作系统，不导给任何应用，也不导给你本人。
• 双方都要证明身份。配置文件的下载走的是双向认证通道：服务器向芯片证明自己，芯片也向服务器证明自己，双方使用的证书任何一方都无法伪造。
• 配置文件与单一芯片绑定。它是针对某一块特定 eUICC 加密的。复制二维码、激活字符串或文件，攻击者拿到的只是一份自己的硬件打不开的数据包。
• 激活码只能用一次。配置文件一旦下载完成，它的激活码就已经用掉了。事后泄露出去的截图，什么也装不了。

人们模糊记得的那些老式克隆攻击，属于这项技术完全不同的一个时代，针对的是早在 eSIM 出现之前就已经退役的算法。它们是历史，不是现实的风险。

SIM 卡劫持的每一步，瞄准的都是同一样资产：电话号码，因为验证码是发给号码的。把号码拿掉，这场攻击就失去了对象。纯数据旅行 eSIM 没有号码，收不了短信，也不挂在任何名字下面。

这跟贯穿我们那篇威胁模型指南的结构性论证如出一辙：一项服务从未收集过某样东西，就不可能泄露它；一条线路从来没有号码，也就谈不上被偷。这不是谁必须遵守的承诺，而是压根不存在的东西。

这一部分才是真正保护你的内容，一次性花大约二十分钟就能做完。请按顺序往下做——前两项能直接挡住攻击，其余几项则是在别的环节出问题时限制损失。

1. 01
   开启携出保护 PIN 或号码锁定

   几乎所有大型运营商现在都提供这项功能，名称可能是“SIM 保护”“号码锁定”或“携出冻结”。它会挡住任何线路转移，除非你亲自解除。这是本页所有开关里价值最高的一个，而且通常默认是关闭的。

2. 02
   把验证码从短信上挪开

   把每一个重要账户——先是邮箱，然后是银行和交易所——都切换到身份验证器应用或硬件密钥。短信验证码正是号码被偷的原因；拿走这份“奖励”，攻击也就不再划算。

3. 03
   把你的号码从找回方式里删掉

   即便已经开启了基于应用的双重验证，许多账户仍然会把重置验证码用短信发到你的号码上，这等于悄悄把你刚刚堵上的漏洞又打开了。只要有这个选项，就把号码删掉。

4. 04
   给运营商账户设一个像样的密码

   不要用你家狗的名字，不要用出生年份，也不要用任何人从你的个人资料里就能读到答案的安全提示问题。把它和其他密码一起存进密码管理器。

5. 05
   别把生日和住址公开挂在个人资料上

   这些正是客服用来核实你身份的字段。你公开的每一项，都是白送给冒充你打电话进去的人的一份凭证。

• 从邮箱开始。谁控制了你的收件箱，谁就能重置其余大部分账户，所以它值得你用上愿意接受的最强方法。
• 只要账户支持，优先选硬件密钥或通行密钥。这两样都没法被钓鱼、被重定向，也没法从锁屏上被人读走。
• 提前把备用码离线保存好——写在纸上，放在手机以外的地方。
• 出国时用纯数据 eSIM，让你的主号码整趟旅程都闲着不用。一条没人在用的线路，也就没人需要替你盯着它，而且在只是路过的国家里，也少留一次漫游注册记录。

只要发现得够早，被劫持的后果是可以挽回的，而且一旦你知道该留意什么，早期信号其实非常明显。手机不会提醒你号码被偷了，它只会突然没了信号。

• 主号码突然显示“无服务”或 SOS，而且是在室内、在一直有信号的地方，其他地方也没有任何故障报告。
• 电话和短信不再进来，但基于 Wi-Fi 的应用一切照常——这正是线路没了、而不是网络出问题的破绽。
• 收到一条关于 SIM 卡变更或号码转移的提示，但你根本没有申请过。有些运营商会发这样的通知；值得认真读一读，而不是随手划掉。
• 收到你没有申请过的密码重置邮件，尤其是几分钟内连续收到好几封。
• 在一个一小时前还好好的设备上，突然被踢出各个账户。

1. 01
   用另一部手机联系运营商

   直接说出“我怀疑我的号码被 SIM 卡劫持了”，并要求他们冻结这条线路。这时候速度比礼貌更重要——每过一分钟，就有另一个重置验证码被送到别人手里。

2. 02
   先锁住你的钱

   先银行，再是任何托管式交易所或钱包账户。先冻结银行卡、叫停转账，再回头去清理邮箱。

3. 03
   换一台干净的设备来修改密码

   先改邮箱，再改所有用过短信验证码的账户。用一台笔记本电脑或另一部手机，而不是那台刚刚失去信号的手机。

4. 04
   把双重验证重新搭建好

   拿回号码之后，把这些账户都切换到身份验证器应用或密钥上，这样同样的攻击下个月就没法重演。

eSIM 领域确实存在的那些骗局，攻击的都不是芯片。它们只是普通的互联网骗术，换了个马甲：收了钱不发货的商店，替你安装了一个你没选过的配置文件的二维码，还有在你的留言下冒出来、假装提供帮助的“客服”账号。

• 只扫你自己申请来的二维码。来自一条消息、一条论坛回复，或者青年旅舍里一张贴纸上的二维码，都是在邀请你安装一个由陌生人控制的配置文件。它读不到你其他的配置文件，但能承载你的流量。
• 把没用过的代码当现金对待。安装之前，它就是一张认码不认人的兑换券——谁拍下它的照片，谁就能抢在你前面把这份套餐装到自己手机上。尽快安装它，它就不再是问题。
• 直接从正牌商店购买。转卖已经成了一门小生意：同一份套餐，加价卖给你，页面做得很像，事后却没有任何办法找到支持。
• 任何正规渠道都不需要你的令牌。开口向你索要那串代码的“客服”，就不是真正的客服——那串代码就是你的账户本身。我们的令牌是你注册时保存的那串 XXXX-XXXX-XXXX-XXXX，它除了登录框之外不该被输入到任何地方。
• 付款前先看清域名，尤其是在手机上，地址栏往往只显示一半。支付页面是互联网上被仿冒最多的页面，这不是没有原因的。

我们对隐私问题保持的那份诚实，在这里同样适用。拿掉电话号码，能彻底消除一整类攻击，但其余的攻击方式，一个也不会因此减少。

• 被入侵的设备依然是被入侵的设备。能看到你屏幕内容的恶意软件，读取身份验证器的验证码跟读短信一样轻松。任何 SIM 相关的技术都帮不上这个忙。
• 钓鱼依然管用。最常见的账户被盗用方式，仍然是有人把真实密码输进了一个足够逼真的假页面。通行密钥和硬件密钥能挡住这一招；纯数据 eSIM 挡不住。
• 网络依然能看到你流量的轮廓。匿名购买不等于加密传输——完整的论证见匿名eSIM能隐藏什么——又藏不住什么。
• 你的硬件依然是可识别的。不管装的是哪份配置文件，手机都会向基站表明自己的身份，这一点追踪与定位指南里说得很清楚。
• 不可信的网络依然不可信。线路加固得再好，对你之后接入的酒店 Wi-Fi 也毫无帮助——这个风险自成一篇指南。

简单说：纯数据 eSIM 拿掉了 SIM 卡劫持者盯上的那份资产，携出锁定则守住了你仍然留用的那个号码。两者加在一起，堵上了那个真正让人损失真金白银的缺口。如果你现在就想要这份连接，各国套餐都在目的地页面，购买过程无需姓名、无需邮箱、也无需银行卡，大约五分钟就能完成。