De Novo

di Michele Venturato

Le eSim sono davvero sicure?
Le schede telefoniche virtuali, utilizzate per aggiungere una linea mobile al proprio smartphone, stanno diventando sempre più diffuse, soprattutto tra chi viaggia spesso all’estero. I motivi sono chiari: sono compatibili con un numero crescente di telefoni, hanno costi contenuti e si attivano in pochi secondi, evitando lunghe attese. Al contrario delle sim tradizionali, che richiedono di recarsi in un punto vendita locale e registrarsi con i documenti, le eSim si acquistano online e si installano con un semplice tap. A ciò si aggiunge il vantaggio ecologico: niente plastica né processi industriali necessari alla produzione delle sim fisiche.

Tuttavia, come accade per molte innovazioni, anche questa tecnologia presenta delle ombre. Un recente studio firmato da Maryam Motallebighomi, Jason Veara, Evangelos Bitsikas e Aanjhan Ranganathan della Northeastern University di Boston – presentato all’Usenix Security Symposium di Seattle, uno degli eventi più autorevoli sulla cybersecurity – ha messo in evidenza alcuni rischi legati all’uso delle eSim.

Cosa sono le eSim

Le eSim (Embedded Subscriber Identity Module) sono sim digitali, integrate direttamente nel telefono tramite un chip. Consentono di archiviare i dati del cliente e le informazioni sull’offerta sottoscritta (internet, chiamate, sms, roaming), esattamente come le sim fisiche, ma con l’attivazione che avviene a distanza. La procedura è molto rapida: si acquista la eSim online, si riceve via email un QR code e basta inquadrarlo per iniziare a utilizzarla. I dispositivi compatibili sono ormai numerosi, dai top di gamma agli smartphone di fascia media. Anche Apple e Samsung hanno adottato stabilmente questa tecnologia: per esempio, sugli iPhone a partire dalla serie 14 e sui Galaxy S25 non serve neppure il QR code per completare l’attivazione. La diffusione capillare di queste soluzioni rende però ancora più urgente interrogarsi sulle loro criticità.

I principali rischi delle eSim

Il nodo centrale riguarda sicurezza e privacy. In un mercato in rapida espansione, con sempre più operatori e rivenditori, non mancano offerte che operano in aree grigie, spesso difficili da individuare per l’utente comune. Uno dei problemi maggiori è la pratica di deviare il traffico degli utenti su infrastrutture di terzi, situate in paesi lontani e con regole poco tutelanti in materia di dati personali. Lo studio cita in particolare i casi legati alla Cina.

Dove transitano i dati con le eSim

Un esempio aiuta a capire il fenomeno: un viaggiatore italiano in Brasile acquista una eSim per navigare online. In apparenza tutto funziona, ma il suo indirizzo IP risulta collegato a Pechino e i dati transitano sulle reti di China Mobile. Il telefono, senza GPS attivo, arriva persino a localizzarlo in Cina quando apre Google Maps o Apple Mappe.
I ricercatori hanno acquistato 25 eSim da diversi rivenditori, simulando l’uso negli Stati Uniti: nel 40% dei casi l’indirizzo IP era localizzato fuori dal Paese, con instradamenti verso la Cina anche attraverso operatori noti come Holafly. L’anomalia non riguarda solo la navigazione, ma persino la fase di attivazione del servizio.

Per gli utenti europei, abituati a standard più alti di protezione dei dati, questo comporta un rischio notevole: i propri dati possono finire in mercati con una sorveglianza minima e con regole meno stringenti, aprendo la strada a possibili violazioni o attacchi informatici.

Comunicazioni invisibili

Lo studio ha rilevato anche comportamenti “silenziosi” da parte di alcune eSim, come connessioni a server esteri o SMS ricevuti senza che l’utente ne sia consapevole. È possibile che si tratti di normali aggiornamenti tecnici, ma non si può escludere che nascondano attività poco trasparenti.

Perché succede

Il ricorso a infrastrutture estere è spesso motivato dalla volontà di abbattere i costi, una scelta che rende i servizi più convenienti per l’utente finale. Il problema è che la maggior parte dei consumatori non è informata sui rischi di queste pratiche e sceglie le offerte solo in base al prezzo.

Necessità di controlli più severi

Lo studio sottolinea come oggi sia estremamente semplice aprire un negozio online di eSim: bastano una carta di credito e un indirizzo email. Di conseguenza, anche piccoli rivenditori privi di adeguati sistemi di sicurezza possono avere accesso a dati estremamente sensibili, come la posizione geografica o codici identificativi unici dei clienti.
Diventa quindi urgente un intervento delle autorità di regolamentazione, con norme più chiare e controlli più rigorosi sui rivenditori, per garantire trasparenza e ridurre i rischi legati a una tecnologia ormai di uso comune.