eSIM 安全嗎？會不會個資外洩、「中資」是什麼意思、怎麼判斷不是詐騙

eSIM 安全嗎？技術本身和實體 SIM 卡一樣安全

先把最常見的誤會講清楚：eSIM 不是一種「比較不安全的 SIM 卡」。它和實體 SIM 卡做的事完全一樣——向電信網路證明「這支手機是這個門號／方案的使用者」——差別只在 SIM 設定檔是下載到手機裡，而不是一片塑膠卡。

eSIM 的規格由全球行動通訊系統協會 GSMA 制定。GSMA 官方頁面的說法是：SIM 卡現在可以被安全地下載到永久內建於裝置的「安全元件」（Secure Element）中，而這套做法「提供與可拆式 SIM 卡相當的安全與保護程度」。GSMA 官方說明

安裝 eSIM 時，手機與電信的 eSIM 伺服器（SM-DP+）之間的下載流程也有規範（GSMA SGP.22）。2024 年有學術團隊分析這套下載協定，GSMA 回應指出：研究本身的結論是在誠實的雙方之間，這套協定足以抵禦網路攻擊者；研究描述的攻擊情境都預設其中一端（伺服器或手機裡的 eUICC）已被入侵，而 GSMA 規範強制使用 TLS 加密，並有 eUICC 安全認證（eSA）制度來降低這種風險。GSMA 對安全分析的回應

Apple 在台灣官網的 eSIM 說明也寫到，eSIM 是「業界標準的數位 SIM 卡」，並把「更高的安全性」列為 eSIM 的優點之一。Apple 官方說明

所以，「eSIM 安全嗎」這個問題的答案是：技術本身安全。接下來才是真正值得花時間的問題——你的上網流量會經過哪裡、賣家是誰。

eSIM 會不會個資外洩？你的資料會經過三個地方

買一張旅遊 eSIM，你的資料會在三個不同的地方被處理，分別對應三種不同的風險：

要特別說明第三個階段。旅遊 eSIM 分成原生與漫遊兩種：原生方案直接走當地電信，IP 位置在當地；漫遊方案是透過某國電信「漫遊」到目的地，所以流量會先回到發行國的閘道再出去，IP 位置顯示的是發行國而不是你人在的國家。這是漫遊技術的正常運作方式，不是哪家品牌特有的問題，兩者差異整理在 原生 eSIM 與漫遊 eSIM 的差別。

另外要提醒：你在手機上的 LINE、銀行 App、網頁瀏覽本身大多已經是 HTTPS 加密，電信閘道能看到的是「你連到哪裡、連了多久」這類連線資訊，而不是訊息內容。這不代表可以不在意，但在意的對象應該是連線紀錄會留在哪個國家的電信手上，而不是「eSIM 會不會讀我的訊息」。

「中資 eSIM」是什麼意思？大家在意的其實是這兩件事

2026 年 5 月，台灣有多家媒體報導了一則社群貼文，指出部分熱門旅遊 eSIM 的流量可能經過中國管轄的電信基礎設施（例如香港的電信節點），連線 metadata、DNS 查詢與位置軌跡可能進入該電信的核心網路；同一篇報導也提到，因為 OpenAI、Anthropic、Google 會限制中國、香港、澳門的 IP，如果出口 IP 落在香港，人在日本或歐洲也可能打不開 ChatGPT、Claude、Gemini。科技新報報導 Taipei Times 報導

報導引用的是美國東北大學在 2025 年 USENIX Security 研討會發表的研究《eSIMplicity or eSIMplification?》。研究團隊實際購買 25 家旅遊 eSIM 業者的方案後發現：幾乎所有 eSIM 的公開 IP 位址都和使用者實際所在地不同，不少流量會經過第三國電信（包括中國的基礎設施）轉出，而多數業者沒有向顧客說明這件事；研究也發現成為 eSIM 經銷商的門檻很低，以及部分設定檔會在使用者不知情下主動連線。USENIX 論文頁 iTnews 報導

把這些討論拆開來看，大家搜尋「esim 中資」「非中資 esim」時，在意的其實是兩件可以分開查的事：

• 資料經過哪裡：上網時的流量是走當地電信（原生），還是繞回某國閘道（漫遊）？那個閘道在哪個國家、受哪國法律管轄？
• 公司登記在哪：跟你簽約、收你錢、保管你訂單資料的公司，是在台灣登記的公司，還是境外公司？隱私權政策寫的是哪一個法律主體？

這篇不會對任何品牌下「是」或「不是」中資的判斷——股權結構、合作電信與路由都可能變動，而且同一個品牌的不同國家方案可能走完全不同的線路。與其相信別人的標籤，不如學會下一段的查法，自己查你要買的那一個方案。

怎麼自己查：資料經過哪裡、公司登記在哪

以下四個步驟，不需要任何專業工具，下單前花五到十分鐘就能做完。

1. 找服務條款的「簽約主體」。打開賣家網站或 App 的使用條款／服務條款，看第一段寫「本服務由某某公司提供」的那個公司全名與所在國家。這才是真正跟你交易的對象，品牌名稱與中文客服不代表公司在台灣。
2. 讀隱私權政策的三個欄位。台灣《個人資料保護法》第 8 條規定，蒐集個資時要告知「蒐集之目的」「個人資料之類別」「個人資料利用之期間、地區、對象及方式」。找這三項：資料會給哪些第三方（電信供應商、金流商）、會不會傳到境外、保存多久。寫不清楚的，就是你該多問一句的地方。個人資料保護法全文
3. 查經濟部商工登記。如果賣家說自己是台灣公司，拿它的統一編號或公司名稱，到經濟部商業發展署「商工登記公示資料查詢服務」查核：狀態要是「核准設立」，名稱與地址要和網站寫的一致。查不到、或網站根本沒放公司名稱與統編的，就要多留意。全國商工行政服務入口網 商工登記公示資料查詢服務
4. 看方案標示是原生還是漫遊，落地後自己驗 IP。可靠的賣家會在方案頁寫清楚走哪家電信、是原生還是漫遊。到了當地，用任何「查我的 IP」網站看一眼出口位置：原生方案應該顯示當地；漫遊方案顯示發行國是正常的，但如果顯示的國家和賣家說的不一樣，就值得問客服。在意 AI 服務能不能用的人，這一步尤其重要。

同一個賣家的不同目的地方案，供應電信可能不同；真的在意路由的人，請針對你要買的那一個方案查，不要用品牌印象一概而論。

怎麼判斷 eSIM 賣家不是詐騙？五個訊號

「esim 詐騙」的搜尋量不小，但實際上要分成兩種情況：一種是真的詐騙——收了錢不給 eSIM、給的 QR Code 裝不上也找不到人；另一種其實是規格落差——東西是真的，但「吃到飽」有每日門檻、「5G」到當地只有 4G、天數算法和你想的不一樣。前者用下面五個訊號擋掉，後者靠看懂規格，見 eSIM 吃到飽是真的無限嗎 與 eSIM 天數怎麼算。

• 付款方式。信用卡、LINE Pay 這類付款背後有發卡銀行或支付業者的交易紀錄與爭議處理流程；要求轉帳到個人帳戶、只收虛擬貨幣、或在社群私訊裡要你「先匯款再給連結」的，風險最高。
• 發票。在台灣賣東西，每筆交易都應該開發票。會主動開電子發票的賣家，交易就有正式紀錄。
• 公司登記。網站頁尾或條款裡有公司全名與統編，而且查得到「核准設立」。只有一個品牌名稱加一個私訊帳號的，要多留意。
• 客服。eSIM 真正出狀況的時間通常是落地那一刻。出國前先確認：人在國外時，能不能用手邊的方式（例如 LINE）找到真人；只留表單或 Email 的，急事會等很久。
• 廣告型態。內政部警政署 165 全民防騙網持續公布民眾通報的社群平台涉詐廣告清單，「一頁式廣告」是常見手法：只有一個購買頁、沒有公司資訊、價格明顯低於行情、催你限時下單。看到這種頁面，先去 165 全民防騙網或數位發展部「網路詐騙通報查詢網」查一下有沒有人通報過。165 全民防騙網 數發部網路詐騙通報查詢網

完整的六個查證方法與操作細節，寫在 買 eSIM 前怎麼判斷賣家可不可靠。

買 eSIM 前的五分鐘查核清單

把上面的內容濃縮成一張表，下單前照著勾：

八項裡只要有兩項以上找不到答案，就換一家；eSIM 發送後多數賣家不受理退款，事前查比事後吵划算得多。該去哪些管道買、各管道的差異，整理在 eSIM 哪裡買。

用 eSIM 的時候，自己能做的幾個資安習慣

賣家查完了，使用端也有幾件事能做，都很簡單：

• QR Code 和啟用碼不要外流。eSIM 的 QR Code 等於這張卡本身，誰先掃誰先用；咖飛與多數旅遊 eSIM 一經安裝就綁定那台手機。要分給旅伴，用賣家提供的正式分享功能，不要截圖傳到群組。
• 行動數據只指向正在用的那張 eSIM。手機裡同時開著多張 eSIM，可能抓到別張卡的線路；用哪一張就只開那一張，其他保持關閉。台灣門號可以留著收銀行與驗證簡訊，但「行動數據」要指向旅遊 eSIM，設定方法見 eSIM 怎麼用。
• 純上網 eSIM 不配電話號碼，陌生電話與簡訊詐騙的入口自然少一個。如果你買的方案有附號碼，收到陌生來電或簡訊時，請用對待台灣門號一樣的警覺。
• 用完再刪，刪前先問。eSIM 留在手機裡不會耗流量，也不影響台灣門號；但部分方案刪除後無法重裝，行程中請不要隨手刪，到期後再清理最安全，規則見 eSIM 可以刪除、轉移嗎。
• 銀行與敏感操作，盡量在 HTTPS 的 App 或網頁上做。這一點和用什麼 SIM 無關，是出國上網的通則。

咖飛自己的資料怎麼處理？照同一份清單攤開

說別人該怎麼查，咖飛也用同一份清單對自己：

漫遊方案的流量會經過發行電信的閘道，這是漫遊技術本身的運作方式；在意出口位置的人，可以優先選原生方案，或下單前在 LINE 問小編該方案的電信商。發票與統編的細節見 eSIM 可以開發票、打統編嗎；在 LINE 內購買的完整流程見 LINE 買 eSIM 和 App 買的差別。

延伸閱讀

熱門目的地： 日本 eSIM ・ 韓國 eSIM ・ 日韓通用 eSIM ・ 泰國 eSIM ・ 越南 eSIM ・全部目的地