¿Es segura la eSIM? Riesgos de seguridad y cómo protegerte

Resumen

• Una eSIM no se puede robar sin robar el móvil, y eso elimina una de las vías que se usan en las estafas de portabilidad. La FCC lo dice claramente.
• ENISA y la GSMA describen la seguridad de la eSIM como equivalente a la de una SIM extraíble. La diferencia: los dispositivos con eSIM solo están expuestos a ataques de software, porque el chip no se puede extraer.
• El peligro práctico que debes tener en cuenta es el duplicado de SIM (SIM swapping), que va contra tu cuenta del operador y tus datos personales. La protección de portabilidad o el bloqueo de la SIM ayudan.
• No compartas el código QR de tu eSIM. Suele ser de un solo uso, así que no te sirve de respaldo.
• Compra a un vendedor que muestre las condiciones del plan antes de pagar y que no te pida más datos personales de los necesarios.
• Borra los datos de la eSIM antes de vender, entregar o reciclar un móvil.

Qué diferencia a una eSIM de una tarjeta SIM

Una eSIM es un chip integrado en tu móvil. En lugar de cambiar una tarjeta de plástico, descargas un perfil del operador, normalmente escaneando un código QR. Ese perfil contiene el mismo tipo de credenciales que una SIM física: los identificadores y las claves con los que tu móvil demuestra a una red móvil que puede conectarse.

La Trusted Connectivity Alliance, una asociación del sector dedicada a la tecnología SIM y eSIM, explica que la eSIM comparte las funciones criptográficas de la SIM, como un procesador diseñado de forma segura y una memoria segura dedicada a claves y certificados. Estas funciones protegen los dispositivos frente a la clonación, los ataques físicos y los ataques remotos. Descargar un perfil tampoco es una simple transferencia de archivos. Sigue un protocolo estándar, el aprovisionamiento remoto de SIM (Remote SIM Provisioning). La GSMA, la asociación del sector móvil que redacta las especificaciones de la eSIM, indica que el uso del cifrado TLS es obligatorio en ese protocolo y que las especificaciones se diseñaron pensando en la seguridad.

Esa es la base técnica. El resto del artículo trata de lo que todavía puede fallar a su alrededor.

¿Es la eSIM más segura que una SIM física?

Frente al robo y la pérdida, sí. Una SIM extraíble se puede sacar de un móvil perdido o robado. Una eSIM se queda en el dispositivo. Las preguntas frecuentes sobre la eSIM de la FCC (la Comisión Federal de Comunicaciones de EE. UU.), revisadas por última vez en agosto de 2025, indican que una eSIM no se puede robar sin robar el teléfono, mientras que las SIM extraíbles a veces se roban y se usan en estafas de portabilidad. En esas estafas, los ladrones de identidad ponen la tarjeta robada en otro móvil para acceder a las llamadas y los SMS de la víctima.

El panorama de seguridad es más equilibrado que un simple «gana la eSIM». La Agencia de la Unión Europea para la Ciberseguridad (ENISA), en su informe de 2023 sobre el ecosistema de la SIM integrada, afirma que la eSIM ofrece a los usuarios un nivel de seguridad equivalente al de la tarjeta SIM extraíble. También señala una diferencia clave: los dispositivos con SIM física son vulnerables a ataques de hardware y de software, mientras que los dispositivos con eSIM solo son vulnerables a ataques de software. El informe técnico sobre la eSIM de la GSMA también habla de una seguridad equivalente.

Así se comparan las dos en lo que importa a quien viaja:

Si te interesa la parte práctica de esta elección, como la compatibilidad del dispositivo y qué revisar antes de volar, nuestra guía sobre eSIM o SIM física para viajar lo explica.

Los riesgos reales, explicados con claridad

Duplicado de SIM (SIM swapping)

El duplicado de SIM consiste en que un delincuente convence a tu operador para que pase tu número a una SIM o eSIM que él controla. A partir de ahí recibe tus SMS y llamadas, incluidos los códigos de inicio de sesión. El informe de ENISA de 2021 sobre el SIM swapping describe cómo los atacantes se aprovechan de la capacidad del proveedor para trasladar un número de teléfono a un dispositivo con otra SIM. Así reciben los SMS y las llamadas destinados a la víctima y pueden cometer fraudes, como el fraude en la banca online.

Esto también ocurre con las SIM físicas. Lo que cambia con la eSIM es el método. El informe de ENISA de 2023 sobre la eSIM explica que un atacante que ha conseguido los datos personales necesarios puede alegar que el dispositivo está dañado, entrar en la cuenta del cliente en el portal del operador, iniciar un cambio de eSIM y escanear el código QR que aparece allí para activar el perfil. El punto débil está en las personas y en la cuenta: lo que el atacante sabe de ti y lo bien que el operador comprueba la identidad.

En Estados Unidos, la FCC aprobó normas sobre este problema en noviembre de 2023. Según el anuncio en el Federal Register, el diario oficial del Gobierno federal de EE. UU., publicado en diciembre de 2023, los operadores móviles deben usar métodos seguros para autenticar al cliente antes de un cambio de SIM o de una portabilidad, y avisarle de inmediato de cualquier solicitud de cambio de SIM o de portabilidad. También deben ofrecer a todos sus clientes, sin coste, la opción de bloquear su cuenta frente a cambios de SIM y portabilidades, e informar con claridad de las protecciones de cuenta que ofrecen. El cumplimiento quedó a la espera de una revisión federal posterior. Si tu operador es estadounidense, pregúntale qué protecciones ofrece hoy y activa el bloqueo si lo tiene. Si es de otro país, pregúntale si ofrece algo parecido.

Phishing e ingeniería social

ENISA señala que el fraude del duplicado de SIM suele empezar con phishing o ingeniería social dirigidos a los clientes. Un SMS falso dice que tu eSIM «necesita reactivarse», o alguien que se hace pasar por atención al cliente te pide la fecha de nacimiento y el PIN de tu cuenta. Esos datos son justo lo que necesita un atacante para hacer un duplicado de SIM. El consejo de ENISA: no des información personal por correo electrónico ni por teléfono a quien diga ser de tu operador, y no compartas nunca un código de un solo uso enviado para completar un cambio de SIM.

El Centro Canadiense de Ciberseguridad recomienda no revelar las respuestas a las preguntas de seguridad de tus cuentas, como tu fecha de nacimiento, tu domicilio o el apellido de tu madre. Parece básico, pero son justo los datos de los que depende un duplicado.

Ataques remotos y software malicioso

Como los perfiles eSIM se pueden generar y transferir de forma digital, el Centro Canadiense de Ciberseguridad advierte de que la eSIM puede facilitar a los ciberdelincuentes la ingeniería social y los ataques remotos, comprometer varios perfiles a la vez y usar software malicioso mediante la ejecución de código arbitrario. Son riesgos del sistema en su conjunto y dependen de lo bien que trabajen los fabricantes, los operadores y los servidores de aprovisionamiento. Para quien viaja, las defensas prácticas son mantener actualizado el software del móvil, usar el bloqueo de pantalla e instalar perfiles solo del vendedor al que has comprado.

La GSMA aporta un contexto útil. En respuesta a un análisis de seguridad del protocolo de aprovisionamiento publicado en 2024 por investigadores de la Universidad Aalto, recordó que, según ese estudio, el protocolo está adecuadamente protegido frente a atacantes en la red cuando los dos extremos son legítimos. Los ataques que describe el estudio parten de que uno de los extremos, el servidor de aprovisionamiento o el chip eSIM, ya está comprometido. La GSMA indica que el uso de TLS es obligatorio, que si su implementación se mantiene íntegra la exposición a esos ataques se reduce al mínimo, y que existe un proceso de certificación para reducir el riesgo de servidores y chips comprometidos. Dicho de otro modo: el estándar es sólido, y en lo que de verdad confías es en la calidad de la implementación.

¿Puede una eSIM rastrearte?

Una eSIM no añade un localizador a tu móvil, pero cualquier conexión móvil revela cierta información. Tu móvil se conecta a antenas y la red sabe aproximadamente dónde estás. Lo mismo ocurre con una SIM física.

La Trusted Connectivity Alliance explica que el IMSI, el identificador de cliente vinculado al operador que emitió la SIM, se puede usar para confirmar la identidad de un cliente y vigilar su ubicación, sus llamadas y sus SMS. También explica que las redes 2G, 3G y 4G envían el IMSI sin cifrar, algo que aprovechan los ataques con capturadores de IMSI (IMSI catchers), y que el 5G usa un identificador cifrado, llamado SUCI, pensado para resolverlo. Esto afecta por igual a las SIM y a las eSIM. ENISA incluye el rastreo del dispositivo, por su conexión constante a la red móvil, entre los posibles inconvenientes de la eSIM para los usuarios. También señala que la autenticación biométrica de los móviles modernos dificulta el acceso malicioso a una eSIM.

Qué encontró un estudio de 2025 sobre las eSIM de viaje

Hay una investigación que merece una mención clara. En el USENIX Security Symposium de 2025, investigadores de la Universidad Northeastern presentaron un estudio sobre los riesgos de privacidad y seguridad del ecosistema eSIM. Descubrieron que las eSIM de viaje a menudo envían los datos del usuario a través de redes de terceros, incluida infraestructura china, esté donde esté el usuario. En pruebas de laboratorio con varios perfiles de eSIM de viaje, dos se comunicaron sin ninguna acción del usuario: uno abrió una conexión de datos con un servidor en Singapur y otro descargó un SMS enviado desde un número de Hong Kong. Como el aprovisionamiento suele pasar por revendedores, señalan los investigadores, el usuario tiene poca visibilidad sobre lo que hace un perfil.

También demostraron que, si se borra un perfil con el móvil sin conexión, puede que el servidor de aprovisionamiento no registre el borrado. En ese caso, el mismo código QR no sirve para reinstalarlo hasta que intervenga el proveedor. Los investigadores aclaran que no es necesariamente un fallo de seguridad, pero puede dejar al usuario sin servicio.

¿Qué conclusión sacar? No que las eSIM de viaje sean peligrosas, sino que importa quién aprovisiona tu perfil y que es razonable pedir transparencia. No borres una eSIM de viaje para intentar arreglar un problema. Contacta antes con el vendedor y, si hay que eliminar un perfil, hazlo con el móvil conectado a internet.

Por qué algunas personas desconfían de la eSIM

Los escépticos tienen algunos argumentos razonables, y tienen más que ver con el control y la comodidad que con la seguridad en sí:

1. Menos control visible. Una SIM física la ves y la tienes en la mano. Con una eSIM, la gestión del perfil ocurre en el software, y los investigadores de USENIX señalan que eso deja al usuario con poca visibilidad o control. Los revendedores añaden otra capa entre tú y la red.
2. Problemas al borrar y reinstalar. Como mostró el mismo estudio, un borrado hecho sin conexión puede impedir que reinstales un perfil hasta que el proveedor lo solucione. Además, muchos perfiles solo se pueden instalar una vez.
3. Cambiar de móvil requiere planificación. Una tarjeta SIM se cambia a mano. Una eSIM necesita una transferencia o un perfil nuevo. Nuestra guía sobre cómo transferir una eSIM a un móvil nuevo explica los pasos.
4. Móviles bloqueados por el operador. Un móvil bloqueado puede no aceptar un perfil de otro proveedor. Consulta nuestra guía sobre usar una eSIM en un móvil bloqueado antes de comprar.

Nada de esto es motivo para evitar la eSIM. Son motivos para prepararse.

¿Son seguras las eSIM de viaje en el extranjero?

Una eSIM de viaje es una forma razonable de tener datos en el extranjero, con las mismas precauciones que cualquier eSIM. La FCC recuerda que, cuando viajas al extranjero, puedes elegir entre las opciones disponibles para los países que vas a visitar en lugar de cambiar tu SIM por la de un proveedor local. Tu SIM habitual, o tu línea eSIM habitual, sigue en su sitio, así que tu número y tu cuenta del operador no pasan por el mostrador de un aeropuerto.

Dos ventajas destacan en cuanto a seguridad:

• Sin quioscos ni mostradores. No le das tu móvil ni tus documentos a un desconocido en la sala de llegadas.
• Tu propia conexión móvil. Si usas datos móviles en lugar de una Wi-Fi pública abierta, no te conectas a una red de la que no sabes nada. Aun así, ten sentido común con los inicios de sesión importantes y mantén el móvil actualizado.

Un recordatorio sobre las eSIM de viaje solo de datos: normalmente no sustituyen a tu número para llamadas y SMS, así que los códigos SMS de tu banco siguen llegando a tu número habitual. Asegúrate de poder recibir esos códigos de otra forma o de que tu línea habitual siga activa. Si mantienes activa la línea habitual, desactivar Itinerancia de datos en ella detiene el roaming de datos, pero las llamadas y los SMS de esa línea pueden seguir cobrándose con tarifas de roaming. Nuestra guía para recibir SMS en el extranjero repasa las comprobaciones.

Cómo proteger tu eSIM: lista de comprobación

Sigue este orden. Los tres primeros puntos protegen tu número habitual.

1. Pide a tu operador protección de portabilidad o un bloqueo de la SIM. El Centro Canadiense de Ciberseguridad recomienda pedir a tu proveedor móvil que active la protección de portabilidad o un bloqueo de la SIM en tus cuentas, si está disponible, y usar cualquier verificación adicional que te ofrezca.
2. Deja de usar códigos por SMS en tus cuentas importantes. La misma agencia aconseja una autenticación multifactor que incluya métodos que no dependan de tu número de teléfono, como una app de autenticación. Úsala para el correo, el banco y el almacenamiento en la nube.
3. Trata tus datos personales como secretos. No compartas tu fecha de nacimiento, tu dirección, el PIN de tu cuenta ni ningún código de un solo uso con quien te contacte primero, aunque diga ser de tu operador.
4. Bloquea el móvil. Usa un código seguro y la biometría. ENISA señala que la autenticación biométrica de los dispositivos modernos dificulta el acceso malicioso a una eSIM.
5. Instala perfiles solo del vendedor al que has comprado. Escanea un código QR solo si te ha llegado con tu compra. Nuestra lista de sitios donde revisar el código QR de tu eSIM antes de despegar te dice dónde mirar.
6. No compartas el código QR ni los datos de activación. Un código QR suele ser de un solo uso. No lo compartas ni lo publiques, y no cuentes con él para reinstalar la eSIM más adelante. Si algo falla, contacta con el vendedor.
7. Configúrala en casa, con una Wi-Fi de confianza. Comprueba primero qué hace empezar la vigencia del plan: la instalación o la primera conexión. Si la instalación pone en marcha la vigencia, instala la eSIM el día del vuelo. Nuestra guía sobre cuándo instalar la eSIM de viaje explica el momento.
8. Actualiza el software del móvil. Las actualizaciones incluyen correcciones de seguridad.
9. Borra los datos de la eSIM antes de deshacerte de un móvil. La FCC indica que hay que borrar todos los datos de la eSIM antes de desechar o reciclar el dispositivo, y consultar al fabricante y al operador cómo hacerlo correctamente.
10. Vigila las pérdidas de señal sin explicación. ENISA indica que la primera señal de un duplicado de SIM fraudulento es una pérdida de acceso a la red móvil inexplicable y que dura más que un momento. Si te pasa en tu línea habitual, contacta enseguida con tu operador.

Cómo valorar a un proveedor de eSIM

El chip puede ser estándar, pero el vendedor no. Antes de pagar, revisa estos puntos:

• ¿Se ven las condiciones del plan antes de pagar? Los datos incluidos, la vigencia, qué la hace empezar, los países cubiertos y las condiciones de recarga deberían poder leerse antes de pagar.
• ¿Puedes ver el precio por GB? Un precio claro es señal de un vendedor que espera que lo comparen.
• ¿Cuántos datos personales te pide? Cuantos menos datos se recogen, menos datos pueden filtrarse.
• ¿Te ayuda a comprobar tu dispositivo? Un buen vendedor te ayuda a confirmar que tu móvil admite eSIM y que está libre.
• ¿Está clara la entrega? Deberías saber cómo te llega el código de instalación y qué hacer si la instalación falla.
• ¿Hay una vía de soporte si la configuración falla? Busca opciones de contacto claras y condiciones de reembolso por escrito.

Si no sabes si tu móvil está preparado, usa nuestra página para comprobar si tu móvil admite una eSIM de viaje.

Nuestra opinión sobre la seguridad de la eSIM

Vendemos eSIM de viaje, así que tenemos un interés en esto, y preferimos decir claramente lo que pensamos. Las fuentes de arriba apuntan en la misma dirección: el chip está bien protegido y los puntos débiles están a su alrededor. Configurar con prisas en el aeropuerto, comprar planes con condiciones poco claras y tener una cuenta del operador protegida solo por una fecha de nacimiento son riesgos que puedes reducir antes de salir.

Por eso creamos WayfarerSIM pensando en la transparencia. Cada ficha de plan muestra los datos, los días, la cobertura y las condiciones para compartir internet, con el precio total antes de pagar, además del precio por GB en los planes de datos fijos. Puedes comprobar primero tu móvil y elegir el plan en casa con Wi-Fi. Después de la compra, te enviamos un código QR y una página privada del viaje. En los planes que admiten recargas, una recarga se añade a la misma eSIM sin un código QR nuevo.

También creemos que la investigación merece tomarse en serio. Los resultados de 2025 sobre el aprovisionamiento poco transparente a través de terceros son un buen motivo para preguntar a cualquier vendedor qué hace su perfil y qué condiciones se aplican. Pregúntanos lo mismo a nosotros. Nuestro consejo es el de la lista de arriba: protege primero tu cuenta del operador.

Elige una eSIM de viaje que puedas revisar antes de pagar

Si estás preparando un viaje, puedes ver los planes por región y consultar las condiciones antes de comprar. Empieza por los planes globales si vas a visitar varios continentes, o consulta Europa, Asia, Latinoamérica y África.

Si es tu primera vez, nuestra guía con tres formas rápidas de activar una eSIM antes de volar te explica la configuración.

Preguntas frecuentes

¿Es fiable una eSIM?

Sí. Una eSIM comparte las funciones criptográficas de una SIM física, y los perfiles se descargan mediante un protocolo estándar que obliga a usar TLS. ENISA y la GSMA describen su nivel de seguridad como equivalente al de una SIM extraíble. Lo fiable que sea tu caso concreto depende de la protección de tu cuenta del operador y del vendedor que elijas.

¿Se puede hacer un duplicado de una eSIM?

Sí. El duplicado de SIM va contra tu cuenta del operador, no contra el chip, así que puede ocurrir tanto con eSIM como con SIM físicas. Un atacante con suficientes datos personales tuyos puede convencer al operador de que pase tu número. Pide a tu operador protección de portabilidad o un bloqueo de la SIM, y usa una autenticación que no dependa de los SMS.

¿Puede una eSIM rastrearte?

Una eSIM no añade un dispositivo de rastreo, pero cualquier conexión móvil permite a la red saber aproximadamente dónde está tu móvil. Los identificadores de cliente se pueden usar para vigilar la ubicación, y por eso el 5G añade un identificador cifrado. Si quieres dejar menos rastro, elige vendedores que recojan pocos datos personales y mantén el móvil actualizado.

¿Por qué hay gente en contra de la eSIM?

Las principales objeciones tienen que ver con el control y la comodidad. Los perfiles se gestionan por software, así que ves menos de lo que pasa, y los revendedores añaden capas. Un perfil borrado con el móvil sin conexión también puede impedir la reinstalación hasta que el proveedor lo solucione, y cambiar de móvil requiere más pasos que mover una tarjeta.

¿Qué hago con la eSIM antes de vender mi móvil?

Borra primero todos los datos de la eSIM. La FCC indica que hay que borrar la eSIM antes de desechar o reciclar un dispositivo, y preguntar al fabricante y al operador cómo hacerlo correctamente. Elimina el perfil con el móvil conectado a internet y después restablece el estado de fábrica.

Fuentes

Todas las fuentes están en inglés.

• eSIM Cards FAQ (preguntas frecuentes sobre la eSIM), Comisión Federal de Comunicaciones de EE. UU. (FCC)
• Protecting Consumers from SIM-Swap and Port-Out Fraud (norma final de la FCC, diciembre de 2023), Federal Register
• Countering SIM-Swapping (diciembre de 2021), ENISA
• Embedded SIM Ecosystem, Security Risks and Measures (marzo de 2023), ENISA
• Security Analysis of the Consumer Remote SIM Provisioning Protocol, GSMA
• eSIM Whitepaper: The what and how of Remote SIM Provisioning (marzo de 2018), GSMA
• eSIM, Trusted Connectivity Alliance
• Protecting Subscriber Privacy in 5G (marzo de 2021), Trusted Connectivity Alliance
• Security considerations for SIMs (ITSAP.10.021), Centro Canadiense de Ciberseguridad
• eSIMplicity or eSIMplification? Privacy and Security Risks in the eSIM Ecosystem, USENIX Security 2025

Te recomendamos

• eSIM o SIM física para viajar: comprueba la compatibilidad antes de volar
• Códigos QR de eSIM: los 4 sitios que debes revisar antes de despegar
• Tres comprobaciones antes de fiarte de una eSIM para varios países
• Usar una eSIM en el extranjero: 4 comprobaciones antes de comprar