Durante el 34º Simposio de Seguridad USENIX desarrollado en EE.UU, investigadores de la Universidad de Northeastern presentaron un estudio académico que expone vulnerabilidades estructurales en los servicios de eSIM para viajeros. El análisis, que incluyó a 25 proveedores populares como Airalo, Holafly, Google Fi, T-Mobile y Nomad, identificó prácticas que comprometen la privacidad, seguridad y cumplimiento normativo de los usuarios.
¿Qué es una eSIM?
La eSIM (embedded SIM) es la evolución de la tarjeta SIM tradicional. En lugar de insertarse físicamente en el dispositivo, está integrada en el hardware y permite activar y gestionar planes móviles de forma remota. Entre sus ventajas destacan la conveniencia, flexibilidad y eficiencia, ya que los usuarios pueden alternar entre múltiples operadores y perfiles desde un mismo dispositivo, optimizando costos y conectividad.
De acuerdo con GSMA Intelligence, la adopción de eSIM se acelerará a medida que los consumidores busquen mayor practicidad y ahorro en viajes internacionales. Juniper Research proyecta que para finales de 2025 más de 3.000 millones de dispositivos utilizarán eSIM, consolidándola como un elemento clave en la transformación digital de las telecomunicaciones. Además, GSMA prevé que en 2030 existirán 38,7 mil millones de conexiones IoT a nivel mundial, de las cuales un 37% dependerá de tecnología eSIM, lo que amplifica la importancia de proteger estas conexiones frente a amenazas emergentes.
Riesgos identificados en el estudio
Uno de los puntos claves del estudio fue el desvío de tráfico a través de jurisdicciones opacas. El análisis presentado por los académicos evidenció que numerosos perfiles eSIM redireccionan el tráfico de usuarios por infraestructuras en países como China y Singapur sin informar al cliente. En algunos casos, datos originados en Europa transitaban primero por Asia antes de llegar a internet, lo que genera riesgos asociados a interceptación legal, vigilancia estatal y cumplimiento normativo (como por ejemplo GDPR).
A este hallazgo se suma el comportamiento silencioso y proactivo de los perfiles, en donde ciertos perfiles ejecutaron conexiones en segundo plano sin intervención del usuario, incluyendo vínculos automáticos a servidores externos y la recepción no solicitada de SMS. Este tráfico oculto puede ser explotado para fraude, fuga de datos, suplantación de identidad o monitoreo encubierto.
El estudio, que puede ser leído completo en este enlace, mostró además el acceso irrestricto a la reventa de eSIM. Hoy en día resulta muy simple convertirse en revendedor de eSIM: Solo se necesita un correo electrónico y un método de pago. Esto permitió a los investigadores crear una tienda propia y obtener acceso a datos sensibles como IMSI, identificadores de dispositivo y ubicación precisa, lo que revela un vacío regulatorio respecto de los estrictos controles aplicados a operadores móviles y MVNOs. El panorama se complica con tendencias recientes: en el Reino Unido, los ataques SIM-swap crecieron diez veces entre 2023 y 2024, generando pérdidas superiores a £5 millones (cerca de 5.5 millones de dólares). Adicionalmente, se han documentado ataques basados en clonación de perfiles eSIM y vulnerabilidades en chips eUICC, confirmando que esta tecnología, aunque más avanzada, no está exenta de explotación maliciosa.
Recomendaciones para usuarios y organizaciones
Para mitigar los riesgos identificados, expertos sugieren:
- Seleccionar proveedores transparentes, que informen sobre el enrutamiento y la residencia de datos.
- Utilizar VPN confiables al manejar información sensible en el extranjero.
- Mantener los dispositivos actualizados, aplicando parches de seguridad de forma continua.
- Implementar autenticación reforzada en cuentas de operador para prevenir fraudes.
Con la proyección de alcanzar 7 mil millones de dispositivos activos con eSIM hacia 2030, la falta de transparencia y la gestión del enrutamiento se consolidan como desafíos críticos para empresas y viajeros. La eSIM ofrece ventajas indiscutibles en flexibilidad y eficiencia, pero su adopción masiva exige estándares más estrictos de seguridad, regulación y confianza digital.
Referencias
© 2026 CronUp Ciberseguridad. Todos los derechos reservados. Este contenido está protegido por la Ley Nº 17.336. Se permite su uso informativo citando la fuente y enlazando el artículo original. Su reproducción o uso sin atribución constituye infracción.
