（吉隆坡14日讯）每次出国度假时，手机用户不乏移动网络连接的选择，包括国际漫游服务、在目的地国家购买SIM卡，或使用非实体的旅游eSIM。
随著科技发展，旅游eSIM的使用也日益普及，因为用户无需插入实体SIM卡，便可在兼容设备上以数码方式启用移动通讯服务。
此外，部分设备还可以储存多个eSIM，让用户可根据旅行需求，轻松管理和使用不同的移动通讯配套。
鉴于旅游eSIM可以通过线上购买，并利用二维码进行激活，因此，用户务必警惕相关风险，包括不法分子可能冒充旅游eSIM供应商，或利用虚假网站和二维码诱骗用户付款或提交个人资料。
大马敦胡先翁大学（UTHM）副教授兼网络安全与数据情报中心（CCDI）高级研究员祖拜烈阿都拉博士说，尽管eSIM提供了虚拟配置文件管理的便利，但如今也已成为“网络钓鱼”和“社交工程”攻击的主要目标。
“用户不必害怕使用eSIM，但必须明白，电话号码如今已成为极其敏感的数码身份的一部分，需要像银行账户密码一样，妥善保护。”
他早前接受马新社访问时说，尽管这项技术具备全球移动通讯系统协会（GSMA）制定的标准安全机制，但弱点往往出现在用户访问权限的管控层面。
他指出，目前最显著的风险，是网络罪犯利用数码流程的漏洞，绕过电讯公司的安全管控。
他说，当eSIM的激活、转移或更换流程可以完全通过数码方式完成，无需用户亲自到场时，用户的电讯公司账户便会成为主要攻击目标。
“如果犯罪分子通过网络钓鱼成功接管账户，就可能滥用eSIM更换程序，将受害者的电话号码转移至自己的设备。”
“eSIM本身并不会直接导致设备暴露于恶意软件的威胁之下，但它改变了风险格局，因此，用户必须认真关注身份验证和数码账户安全。”
他说，电话号码是多个关键账户的“钥匙”，包括通过一次性密码（OTP）进行验证的银行账户，以及WhatsApp等官方通讯应用程序。
祖拜烈也提醒用户，切勿向任何人提供OTP或验证资料，即使对方声称自己是电讯公司的代表，也不例外。
“如果手机在没有明确原因的情况下突然失去讯号，不要以为这只是普通的网络覆盖问题。应立即向电讯公司查询，因为这可能是账户遭入侵，或eSIM在未经授权的情况下被转移的迹象。”
另一方面，玛拉工艺大学（UiTM）电脑科学与数学学院高级讲师莫申莫哈末哈达博士则说，与普通SIM卡相比，eSIM具有多项便利，包括加快切换网络的流程，以及具备更好的物理耐用性。
“eSIM是一种内置SIM卡，可通过数码方式管理电讯配置文件。它能优化设备的硬件空间，并获得大马通讯及多媒体委员会（MCMC）的支持，通过电子客户身份识别（eKYC）进行数码身份验证。”
不过，他指出，这项技术在带来便利的同时，也面临网络安全挑战，包括eSIM置换攻击（eSIM swapping）、未受保护的激活二维码遭拦截，以及针对电讯服务供应商门户网站的网络钓鱼攻击。
他说，犯罪分子若通过网络钓鱼获取用户的电讯账户登录凭证，就可能在线申请新的eSIM配置文件，进而截取银行或其他账户的一次性密码（OTP）。
“使用键盘侧录程式（keylogger）等恶意软件，也可能导致用户的登录资料遭窃取，或让犯罪分子获取储存在用户设备相册中的激活二维码。”
作为防范措施，他建议用户启用以应用程序为基础的双重身份验证（2FA）、设置强度足够的PIN码，并且不要与任何第三方分享eSIM激活二维码。
