eSIM 安全嗎？先講結論：eSIM 這個技術本身比實體 SIM 卡安全，手機被偷時卡片拔不走，eSIM 本身也不會讀取你的照片、聯絡人。真正要注意的是，如果你是買旅遊用的 eSIM，這張卡的流量會繞到哪裡出去。
2026 年 10 月公布的一項台灣旅遊 eSIM 檢測裡，172 張出國用 eSIM 中，有 72.1% 的電信業者不在標示的目的地國家，40.7% 由中國移動、中國聯通、中國電信這三大國有集團的境外子公司承載。也就是說，買日本 eSIM，流量可能是先繞到香港再出去。
不想猜的話，連上 eSIM 後用 ipinfo.io 查一下 IP 屬於哪家電信，就知道流量從哪裡出去。這篇整理中資 eSIM 疑慮到底是什麼、自己檢查的方法，以及不放心時該怎麼選。
eSIM 比實體 SIM 卡安全嗎？卡片拔不走，但門號一樣可能被盜
eSIM 安全的地方：手機被偷，SIM 卡拔不走
eSIM 是直接內建在手機裡的數位 SIM 卡，不用插卡，掃 QR Code 或在 App 裡按幾下就能安裝。eSIM 比實體 SIM 卡安全，因為手機遺失或被偷時，eSIM 沒辦法被拿出來。
這點很重要：實體 SIM 卡被拔走插到別支手機，小偷就能收你的簡訊驗證碼去登入網銀或社群帳號。eSIM 拔不走，小偷要先解開你的手機才有辦法動到門號。
eSIM 跟實體 SIM 卡一樣，主要只存電話號碼和連上電信網路用的加密憑證，單就 eSIM 技術來說，不會直接竊取手機內容，也沒有權限讀取照片、聯絡人、密碼或聊天紀錄。
eSIM 不安全的地方：SIM 卡挾持一樣會發生
SIM 卡挟持（SIM swap）是指詐騙集團冒用你的身分，讓電信業者把你的門號轉到他們手上的 SIM 卡，之後你的簡訊驗證碼都會被他們收走。
eSIM 沒辦法完全擋掉這種攻擊。已經有歹徒先用外洩或猜到的密碼登入受害者的電信帳號，再自己產生 eSIM 的 QR Code，把門號轉到自己的手機上；2023 年秋天到 2024 年初，光是俄羅斯一家金融機構就記錄到超過 100 次這類嘗試。
防範方式跟實體 SIM 卡一樣：
- 電信帳號用不一樣的強密碼：台灣電信的會員帳號、App 不要跟其他網站共用密碼。
- 重要帳號別只靠簡訊驗證：網銀、Google、Apple 帳號改用驗證器 App 或實體安全金鑰。
- eSIM 的 QR Code 不要外流：安裝用的 QR Code 或 E-mail 裝好後要妥善保存或刪除，不要傳給別人。
eSIM 跟公共 Wi-Fi 比，哪個安全？
出國時用 eSIM 的行動數據，比連機場、咖啡廳的免費 Wi-Fi 安全。行動網路在手機和基地台之間有加密，旁邊的人沒辦法像在公共 Wi-Fi 那樣攔截你的連線，也不會遇到假冒的 Wi-Fi 熱點。公共 Wi-Fi 的風險可以閱讀公共 Wi-Fi 安全嗎？
中資 eSIM 的疑慮是什麼？流量可能先繞到香港、中國電信業者
漫遊型 eSIM：買日本卡，背後可能是香港電信
台灣常見的旅遊 eSIM，大多是「漫遊型」：發卡的電信業者在 A 國（例如香港、新加坡），透過漫遊合約讓你在日本、韓國連上當地基地台。手機訊號列顯示的是日本電信的名字，但你的流量可能先回到發卡電信的機房，再從那裡連上網路。
另一種是「原生 eSIM」，由目的地當地的電信業者直接發行，例如日本 docomo、au、SoftBank 自己的方案，流量直接在當地出去。
有個簡單的判斷方式：如果 eSIM 開通後一定要打開「數據漫遊」才能上網，通常代表它是跨國漫遊架構，不是當地電信直接提供。
消基會 2026 年檢測：4 成由中國三大國有電信集團承載
消基會委託財團法人電信技術中心，在 2026 年 8 月檢測國人最常去的 6 個地方（日本、中國、韓國、香港、越南、泰國）的旅遊 eSIM，有效樣本 172 張，結果在 10 月 6 日公布：
| 檢測項目 | 結果 |
|---|---|
| 發卡電信業者在標示的目的地國家 | 48 張（27.9%） |
| 發卡電信業者不在標示的目的地國家 | 124 張（72.1%） |
| 中國移動香港（CMHK） | 32.6% |
| 中國聯通香港 | 4.7% |
| 中國電信 CTExcel | 3.5% |
| 中國三大國有集團子公司合計 | 70 張（40.7%） |
| 香港 3HK（和記電訊） | 20.3% |
| 香港 HKT（香港電訊、CSL） | 11.6% |
| 賣家標示的電信業者跟實測一致 | 只有 34 張（118 張不符、20 張沒標示） |
韓國和中國的 eSIM 最明顯，有效樣本裡沒有一張是當地電信業者發的，韓國最常見的是 3HK、中國移動香港和新加坡 Singtel。就算是日本、泰國、越南這些跟中國沒有地緣關係的目的地，也有 3 到 4 成是這三大集團承載。
消基會沒有點名任何品牌或銷售平台，但指出有業者宣稱用當地「原生」網路，實測卻不是當地業者發行，有誤導的疑慮。
所以不管你是在 DJB、威訊、Klook、KKday 買，還是看 JetFi、JOYTEL 這些品牌，都沒辦法只靠商品頁判斷，要自己查。
美國學術研究：25 家 eSIM 幾乎都不是在你所在地出去
美國的學術研究團隊 2025 年 8 月在資安研討會發表論文，測了 Holafly、Airalo、eSIM Access 等 25 家旅遊 eSIM，幾乎所有 eSIM 拿到的 IP 都跟使用者實際所在位置不符。
其中總部在愛爾蘭的 Holafly，流量走的是中國移動國際在香港的網路。研究也發現部分 eSIM 會在使用者不知情的情況下連到新加坡的伺服器、收取香港號碼傳來的簡訊。
另外，要成為 eSIM 轉售商，在部分平台只需要 E-mail 和付款方式，轉售商還能看到使用者的 IMSI（門號的識別碼）和大概位置。
流量經過中國電信業者，會怎樣？
這件事要分開看：
- 對方看得到什麼：現在大部分網站和 App 都用 HTTPS 加密，電信業者看不到你的訊息、密碼內容，但看得到你連到哪些網站、什麼時候上網、用多少流量，以及你的大概位置。
- 為什麼在意中國業者：中國的《國家情報法》要求組織配合國家情報工作，就算中國移動國際註冊在香港，通訊紀錄仍可能經過它的核心網路。
- 實際影響：流量從香港出去，你會拿到香港 IP，OpenAI 不對香港提供服務，ChatGPT 就會用不了。處理方式可以參考另一篇香港 ChatGPT VPN 推薦。
App 權限與個資：用不到的權限就不要給
有些 eSIM 要搭配自家 App 安裝和加值。如果 App 要求存取通訊錄、相簿、藍牙、定位這些跟上網無關的權限，就要提高警覺，而且只從 App Store、Google Play 下載。
如果賣家提供 QR Code，直接用手機內建的設定安裝 eSIM，就不用另外裝 App。
台灣政府怎麼說？資安署、NCC 的建議與目前規範
目前沒有法規禁止台灣人使用中資 eSIM，也沒有規定賣家要標示實際的電信業者。官方到 2026 年 10 月為止的說法整理如下：
- 數位發展部資通安全署（2026 年 6 月）：價格異常低廉的旅遊 eSIM，可能把流量導到第三地甚至特定國家的伺服器；建議優先用原生線路 eSIM，或台灣電信的原號漫遊，原號漫遊的通訊內容會加密傳輸，安全性最高。
- NCC（2026 年 5 月）：呼籲民眾出國儘量選台灣電信業者或有商譽的產品；賣家沒有標示「實際提供電信服務的境外電信事業」時，可以先向賣家查證。NCC 也說會跟檢警、三大電信討論簡化台灣電信出國上網卡的實名驗證（KYC）流程。
- 立法院（2026 年 10 月 14 日）：交通委員會邀數位發展部長林宜敬報告時，立委就跨境 eSIM 的資安風險、電信監管與消費者權益提出質詢，目前還沒有看到具體的規範結論。
- 消基會（2026 年 10 月）：呼籲主管機關要求業者在販售頁面揭露實際的電信業者、是不是漫遊、資料傳輸架構和可能經過的第三地。
另外要知道的是，透過第三方通路買的境外 eSIM，不在台灣電信法規的服務範圍內。2023 年 4 月立法院質詢時，NCC 和數位部都表示不是他們的主管範圍，出問題時消費者能找的只有賣家。
怎麼檢查 eSIM 的流量從哪裡出去？3 個方法自己查
方法 1：連上 eSIM 後查 IP 和電信業者
這是最直接的方法，到了當地開通 eSIM 後做：
- 關掉手機的 Wi-Fi，只用 eSIM 的行動數據上網。
- 關掉 VPN、iCloud 私密轉送，以及 eSIM App 裡的虛擬位置功能。
- 用瀏覽器打開 ipinfo.io/my，首頁會直接顯示你目前的 IP 資訊。
- 看「Country」（國家）和「ASN」或「Org」欄位，ASN 是網路業者的編號，後面會寫業者名稱。
判斷方式：
- 國家是目的地、業者是當地電信（例如日本的 NTT docomo、KDDI、SoftBank）：流量在當地出去。
- 國家是香港或新加坡：漫遊型 eSIM，流量繞到第三地出去。
- 業者名稱有 China Mobile、CMHK、China Unicom、China Telecom、CTExcel：由中國三大國有集團的子公司承載。
手機訊號列顯示的電信名稱只代表你連上哪家的基地台，不代表流量從哪裡出去，所以一定要查 IP。
方法 2：看 ICCID 的國碼
ICCID 是每張 SIM 卡、每組 eSIM 都有的識別碼，前兩碼固定是 89，後面接的是發卡國家的國碼。出發前裝好 eSIM 就能查：
- iPhone 到「設定」→「一般」→「關於本機」，往下找到這張 eSIM 的「ICCID」。
- Android 依品牌不同，大多在「設定」→「關於手機」→「SIM 卡狀態」。
- 看 89 後面的數字：852 是香港、86 是中國、65 是新加坡、81 是日本、82 是韓國、886 是台灣。
例如 ICCID 開頭是 89852，代表這張 eSIM 是香港的電信業者發的，就算商品頁寫「日本原生」也不是。這個方法看的是發卡業者，流量實際從哪裡出去，還是以方法 1 查到的 IP 為準。
方法 3：看賣家揭露的資訊、隱私權政策和公司資料
- 商品頁有沒有寫電信業者：買之前先向平台確認實際提供網路的境外電信業者；只寫「日本高速網路」、沒寫業者名稱的，可以先問客服。
- 要不要開數據漫遊：安裝說明要你開數據漫遊，就是漫遊型 eSIM。
- 隱私權政策與服務條款：看跟你簽約的公司在哪裡、資料會不會分享給「合作電信業者」或「關係企業」、存在哪個國家。
- 公司登記：台灣賣家可以到經濟部商工登記公示資料查詢，看公司名稱、代表人和設立日期；不過台灣公司賣的 eSIM，上游一樣可能是香港或中國業者，還是要回到方法 1 查。
不放心中資 eSIM 怎麼辦？選對線路，再加開 VPN
先選對上網方式
下面整理三種出國上網方式的差異，粗體代表該欄位資安上比較好的選擇：
| 上網方式 | 流量從哪裡出去 | 出問題找誰 | 資安評估 |
|---|---|---|---|
| 台灣電信原號漫遊 | 通常先回台灣電信 | 台灣電信，受 NCC 管轄 | 安全性最高，但費用較高 |
| 原生 eSIM | 目的地當地 | 賣家、當地電信 | 買 eSIM 的話優先選這種 |
| 漫遊型 eSIM | 香港、新加坡等第三地常見 | 賣家 | 檢測的 172 張旅遊 eSIM 有 70 張（40.7%）由中國三大國有集團承載 |
很在意的人，選台灣電信的原號漫遊或原生 eSIM；在意價格、選了漫遊型 eSIM，就用下面的 VPN 補上。
eSIM 加開 VPN：電信業者只看得到你連到 VPN
VPN 會在手機上先把所有流量加密，再送到你選的 VPN 伺服器出去。開了之後，不管 eSIM 的流量繞到香港還是哪裡，電信業者只看得到你連到 VPN 伺服器，看不到你上了哪些網站。在不確定是否安全的網路上，盡量只用 HTTPS 網站或開 VPN。
要注意的是，VPN 管不到門號層級的資料：電信業者還是知道你的 IMSI、大概位置和用了多少流量。VPN 本身也要選公司背景清楚的，台灣熱門的免費 VPN 不少有中資背景，可以閱讀 VPN 安全嗎？
我自己出國用的是 NordVPN，母公司 Nord Security 是立陶宛人創辦的資安公司，手機上一鍵就能連，也能連回台灣伺服器看台灣的影音平台。出國時哪些情況需要 VPN，可以參考另一篇出國需要 VPN 嗎？
選公司背景清楚的 eSIM 品牌
如果想買不是中資的 eSIM，可以選公司背景公開的品牌。像 Saily 是 NordVPN 母公司 Nord Security 在 2024 年推出的旅遊 eSIM，台灣用戶簽約的公司是美國德拉瓦州註冊的 Saily Inc.。
不過「公司不是中資」跟「流量不經過香港」是兩回事。Saily 也是漫遊型 eSIM，上游電信業者沒有全部公開，也有使用者在日本使用時拿到香港 IP。
Saily 的虛擬位置功能會把流量轉到 NordVPN 的伺服器，但這個功能不會在手機上加密，流量還是先經過電信業者的伺服器。很在意的話，一樣用上面的方法查 IP，或另外開 VPN。
出國上網的使用習慣
- 用網銀、刷卡前確認網路：在還沒確認安全的網路上，不要登入網銀或輸入信用卡資料。
- 加上 DNS 過濾：手機的私人 DNS 要選有擋惡意網站功能的服務，例如 Cloudflare 的 security.cloudflare-dns.com；一般的 1.1.1.1、Google DNS 只會加密 DNS 查詢，不會幫你擋網站，設定方式可以閱讀 DNS 是什麼？
- 注意網站是不是真的：確認網址開頭是 https，不過有鎖頭不代表網站可信，判斷方法可以參考另一篇網站安全嗎？
- 回國後刪掉 eSIM：旅遊 eSIM 大多是一次性的，回國後不用了就從手機移除，App 也一起刪掉。
- 發現異常馬上處理：出現流量暴增、帳號收到異地登入通知時，先關掉行動數據和數據漫遊、移除 eSIM 和 App，再改重要帳號的密碼並登出其他裝置。
我的建議
eSIM 這個技術本身沒問題，比實體 SIM 卡還安全，要擔心的是賣家背後用的是哪家電信。檢測結果已經顯示，商品頁寫的電信業者有一大半跟實測不同，所以不要只看商品頁。
我的做法是：短程旅行、預算夠的話，用台灣電信的原號漫遊或原生 eSIM；想省錢買漫遊型 eSIM，到了當地先用 ipinfo.io 查一下 IP，查到是中國電信集團或香港出去的，就全程開著 NordVPN 再用網銀、登入重要帳號。
要去中國的話，情況又不一樣，當地會擋 Google、LINE，上網方式可以閱讀中國上網卡該如何挑選？
常見問題
用中資 eSIM，手機裡的照片和 LINE 對話會被看到嗎？
不會因為 eSIM 本身就被看到。eSIM 沒有權限讀取照片、聯絡人或聊天紀錄，LINE 的訊息也有加密。風險在於流量經過的電信業者看得到你連線的對象和時間，以及 eSIM 附帶的 App 有沒有要求多餘的權限。
台灣電信的原號漫遊一定比較安全嗎？
原號漫遊的通訊內容會加密傳輸，比用當地 SIM 卡或旅遊 eSIM 安全，而且出問題時有台灣的 NCC 可以管。缺點是價格比較貴，出發前可以先到電信業者官網比較漫遊方案。
原生 eSIM 怎麼分辨？
看三件事：商品頁有沒有寫明是當地電信業者發行（例如日本 docomo、au、SoftBank）、安裝後需不需要開數據漫遊、ICCID 的國碼是不是目的地國家。要開數據漫遊、或 ICCID 開頭是 89852（香港）的，通常就不是原生 eSIM。
eSIM 用完一定要刪掉嗎？
建議刪掉。旅遊 eSIM 回國後不再使用就從手機移除，專屬 App 也一起刪除；之後要再用同一家，重新購買安裝就好。