海外旅遊eSIM 近七成歸屬網路與業者標示不同 消基會籲強化資訊揭露

        隨著國人出國旅遊日益普遍，穩定、便利的網路服務已成為旅客出國時的重要需求之一。過去，出國上網多仰賴實體SIM卡或租借Wi-Fi分享器，不僅需額外領取及歸還設備，使用上也較為不便。近年來，海外旅遊eSIM快速普及，消費者只需在出國前線上購買，收到QR Code後即可完成開通，省去更換SIM卡及攜帶分享器的麻煩。加上市場競爭日益激烈，不少海外旅遊eSIM更祭出異常低價方案，吸引消費者選購。然而，在低價吸引力的背後，消費者未必了解所使用的HPLMN（Home Public Land Mobile Network，簡稱歸屬網路）究竟來自何處，也未必清楚資料傳輸過程中面臨可能的資安風險。

        今(115)年6月，數位發展部資通安全署曾指出，價格異常低廉的海外旅遊eSIM，可能將使用者的網路流量導向第三地甚至特定國家的伺服器，再轉送至當地網路。若使用者在未加密連線下輸入帳號、密碼、信用卡資料等敏感資訊，或網路流量經過具備高度網路監控能力的地區，相關上網紀錄及未加密資料即可能面臨遭攔截、蒐集或被監控的風險。

        為了解目前市售海外旅遊eSIM的資訊透明程度，消基會於今(115)年8月依據交通部觀光署統計的國人出國前六大目的地，包括日本、中國、韓國、香港、越南及泰國，進行海外旅遊eSIM商品採樣與檢測。

一、調查方式

        本次自不同網路銷售通路販售的海外旅遊eSIM商品中隨機採樣，依目的地分為日本、中國、韓國、香港、越南及泰國共6組，每組30張；其中8張因QRCode過期失效而無法安裝，有效樣本共172張。

二、檢測方法

        本次測試委託財團法人電信技術中心（以下簡稱TTC）進行，所使用的設備與軟體如下：

        檢測初期以測試機一進行量測；因該機發生系統異常，已安裝的eSIM設定檔無法移除，導致可用設定檔槽位耗盡，其餘樣本遂改以測試機二完成量測。歸屬網路識別碼（HPLMN）由Network Cell Info Lite自eSIM設定檔之用戶識別碼讀取；該軟體為公開發行之免費應用程式，一般消費者亦可自行取得使用。此外，由於iOS對於Ａpp的限制較多，因此只能在安卓手機查詢到歸屬網路識別碼。

三、檢測項目

        各eSIM安裝於測試手機後，記錄下列項目：

1.         1.安裝後之歸屬網路識別碼（HPLMN）。
2.         2.購買資訊所附之卡片識別碼（ICCID）。
3.         3.依ITU-T組織的E.118規範，由ICCID推導之發卡國別與登記發卡商。
4.         4.若能連接上網際網路，查詢安裝後手機所取得之IP位址，並嘗試據以推導實 際承載業者。
   
   

四、判讀依據

        歸屬網路識別碼（HPLMN）為行動網路之國際識別碼，前三碼為國碼（Mobile Country Code, MCC），後二至三碼為業者碼（Mobile Network Code, MNC），可由該eSIM設定檔內之用戶識別碼讀取，並據以判定該張eSIM之歸屬網路業者。

        本次結果就同一組HPLMN資料，分別以兩個彼此獨立之判準進行統計，二者不可相互替代，亦不宜擇一引用：

        1.網路所在地：以MCC判定該歸屬網路登記於哪個國家或地區（中國大陸460、香港454、日本440、韓國450、泰國520、越南452、新加坡525）。

        2.業者集團歸屬：依MNC代表的各業者公開之公司從屬關係，判定其是否為特定電信集團之子公司。此判準回答之問題為「這張卡的網路由誰營運」。

這兩者可能得出不同地區的結論。以中國移動香港為例，其持有香港特別行政區之電信執照，並營運登記於香港的454網路；就網路所在地而言屬香港，但因其為中國移動集團之香港子公司，就業者集團歸屬而言屬中國移動集團。上述兩項判定並無矛盾，而是描述同一業者的不同面向。

五、檢測限制

1.         1.本次量測於臺灣境內進行。受測商品之資費方案多僅於目的地國家生效，因此部分商品無法完成連網。惟HPLMN係自設定檔之用戶識別碼讀取，不以成功連網為前提，判讀結果不受量測地點影響。
   
   
2.         2.每張eSIM之HPLMN僅於安裝時讀取一次，為單次量測結果。
   
   
3.         3.本次樣本係分別於兩款測試機上量測，並非同一樣本於兩機重複讀取，旅遊eSIM在設計上有一旦安裝就無法換到另一台手機的特性，因此無法就機型差異對判讀結果之影響進行交叉驗證。
   
   
4.         4.本次檢測僅使用Android平台之測試機。eSIM安裝後於手機上所顯示之行動方案名稱，會因作業系統與機型而有不同呈現方式，故本此結果不就該項進行統計或評價。
   
   

六、檢測結果

(一)逾七成商品之歸屬網路不屬於其標示之目的地國家（依網路所在地判定）

        調查發現，在172張有效樣本中，僅48張(27.9%)的歸屬網路屬於商品所標示目的地國家，其餘124張(72.1%)的歸屬網路則不屬於目的地國家。

         其中以韓國與中國最為明顯，在有效樣本中，無一張eSIM的歸屬網路屬於當地電信業者。相較之下，香港則有23張（88%）屬於當地業者。

(二)承載網路高度集中於少數業者，其中四成屬中國國有電信集團（依業者集團歸屬判定）

        在172張有效樣本中，歸屬網路共分屬17家業者，但分布極不平均，前三大業者合計占64.5%，其餘14家業者共占35.5%。從下表可以得知，單一最大乘載業者為中國移動香港，占全體的32.6%。此結果也顯示，即使消費者透過不同銷售平台、以不同品牌及價格購入eSIM，其背後的承載網路仍多集中於同一批業者。

        按業者集團歸屬統計，承載業者屬於中國移動、中國聯通、中國電信三大國有電信集團之境外子公司的樣本，共計70張，占有效樣本40.7%。此一比例在六個目的地組別間均相近，並未集中於特定組別。

        此外，即使在與中國無地緣關聯之目的地（如日本、韓國、泰國、越南），仍有三至四成商品之承載業者屬前述三大集團。此結果也從側面反映轉售型eSIM商品的供應鏈特徵。

        將業者在網頁上公布資訊對比，販售平台所揭露合作電信業者，與實測結果較多不符。其中有118家揭露的電信業者與所測的電信業者顯示不同，20家未揭露，僅34家和測試結果一致。消費者往往必須抵達當地完成開通後，才能得知實際連線的是當地電信業者，或是透過第三方國家的漫遊服務提供網路。換言之，在購買當下，消費者幾乎無從判斷自身資料將經過哪些國家或網路節點傳輸，也難以評估可能面臨的資安風險。

對於主管機關的呼籲

        消基會認為，海外旅遊eSIM已成為跨境通訊的重要服務，相關資訊揭露卻仍缺乏一致標準。旅遊eSIM實際發行電信業者為何應屬於之〈零售業等網路交易定型化契約應記載及不得記載事項〉中第五條中的「其他重要事項」。主管機關應研議建立必要規範，要求業者於販售頁面明確揭露至少包括實際提供服務之電信業者、是否採漫遊方式、資料傳輸架構及可能經過的第三地等資訊，讓消費者在購買前即可充分了解商品內容，作出知情選擇。若業者未落實，主管機關得依消費者保護法第56-1條進行裁處。

對於販賣電商的呼籲

        此外，海外旅遊eSIM發行商及銷售平台亦應負起資訊揭露責任，不應僅以價格作為主要訴求，而忽略消費者對於網路安全及個人資料保護的知情權。資訊透明不僅有助於消費者選擇適合的商品，也能促進市場良性競爭，提升整體服務品質。

對於消費者的呼籲

         在政府尚未進行實質監督、業者資訊揭露亦未完善之前，消費者仍應提高警覺，降低使用風險。消基會建議，若有較高資安需求，可優先選擇國內電信業者提供的國際漫遊服務，或直接購買當地電信公司提供的eSIM商品。

        這次調查也發現到有業者宣稱是使用當地「原生」網路，然而調查後卻非當地國業者發行之eSIM的現象。由於所有的旅遊eSIM必定是先透過訪問國業者的行動網路上網，因此也不能斷定這樣的宣稱無效，然而這種說法可能讓消費者誤以為歸屬網路是當地業者而放心，有誤導的嫌疑。其實，消費者可透過簡單方式初步判斷商品型態，例如eSIM開通後若需開啟手機「數據漫遊」功能才能上網，通常代表該服務較可能採用跨國漫遊架構，而非直接由當地電信業者提供服務。雖然漫遊服務並不等同於存在資安問題，但消費者應了解通訊經由第三方網路的風險。

        若希望直接使用當地原生電信網路，可優先選擇各國主要電信業者，例如日本的SoftBank、KDDI（au）、NTTDocomo；韓國的SKTelecom（SKT）、KT、LGU+；中國及香港則有中國移動；香港的CSL、3HK、ChinaMobileHongKong；泰國的AIS、TrueMoveH、dtac；以及越南的Viettel、VinaPhone及MobiFone等，以提高網路來源的透明度，降低資料經第三地傳輸所衍生的不確定風險。

        最後，使用海外旅遊eSIM期間，應避免於未確認網路安全性的情況下登入網路銀行、輸入信用卡資訊或處理其他敏感資料，並盡量使用HTTPS加密網站或VPN等安全措施；返國後，也建議立即關閉已使用完畢的eSIM，以降低後續遭誤用或管理不當的風險。

財團法人中華民國消費者文教基金會

參考附件