Tchajwanský test cestovních eSIM našel domovskou síť v cílové zemi jen u 48 ze 172 karet

Cestovní eSIM se kupuje jako kód: zákazník zaplatí, dostane QR kód, naskenuje ho a telefon má po přistání data. Co se mezitím děje, vidět není. Tchajwanská spotřebitelská organizace Consumers' Foundation proto v srpnu 2026 nakoupila 180 takových karet pro šest nejčastějších cílů tchajwanských turistů, a nechala změřit, které síti vlastně patří. Výsledek zveřejnila 6. října: z 172 karet, které se podařilo nainstalovat, mělo domovskou síť v zemi uvedené u produktu jen 48.

Co se vlastně měřilo

Domovská síť (HPLMN, Home Public Land Mobile Network) je operátor, ke kterému SIM nebo eSIM patří; v zahraničí se telefon do místní sítě přihlásí jako jeho roamingový zákazník. Je zapsaná přímo v profilu karty jako pětimístný nebo šestimístný kód: první tři číslice označují zemi, zbývající dvě nebo tři operátora. Pevninská Čína má 460, Hongkong 454, Japonsko 440, Korea 450, Thajsko 520, Vietnam 452 a Singapur 525.

Měření zadala organizace tchajwanskému Telecom Technology Center. To kód přečetlo z profilu běžně dostupnou aplikací Network Cell Info Lite, kterou si může nainstalovat kdokoli, a adresu, jakou telefon na internetu dostal, zjišťovalo aplikací Ping Tools. Prvním testovacím telefonem byl Pixel 8, ten ale po čase přestal nainstalované profily mazat, zaplnil si všechny přihrádky a zbytek vzorků se doměřil na Galaxy S26. Na iPhonu se test udělat nedal: iOS aplikacím kód domovské sítě nevydá.

Ze 180 karet se osm nedalo nainstalovat, protože QR kód už byl propadlý. Zbylo 172 použitelných vzorků, u každého byl kód domovské sítě přečtený jednou. Měřilo se na Tchaj-wanu, takže část karet se vůbec nepřipojila; na čtení kódu z profilu to ale vliv nemá, protože ten se nevyčítá ze sítě, ale z karty.

U Koreje a Číny neměla domovskou síť na místě ani jedna karta

Čtyřiceti osmi kartám ze 172 patřila domovská síť zaregistrovaná v zemi, pro kterou se karta prodávala. To je 27,9 procenta. Rozptyl mezi destinacemi je přitom velký:

• Korea: 30 vzorků, z toho 0 s korejskou sítí; nejčastěji 3HK, China Mobile Hong Kong a Singtel,
• Čína: 28 vzorků, 0 s čínskou sítí; nejčastěji China Mobile Hong Kong, HKT a Singtel,
• Japonsko: 29 vzorků, 6 s japonskou sítí (21 procent),
• Vietnam: 29 vzorků, 8 s vietnamskou sítí (28 procent),
• Thajsko: 30 vzorků, 11 s thajskou sítí (37 procent),
• Hongkong: 26 vzorků, 23 s hongkongskou sítí (88 procent).

Organizace k tomu dodává, že čte výsledky dvěma oddělenými pohledy a ani jeden nenahrazuje ten druhý. První je sídlo sítě podle kódu země. Druhý je příslušnost ke skupině: komu ta síť patří. China Mobile Hong Kong má hongkongskou licenci a provozuje síť registrovanou v Hongkongu, takže podle prvního pohledu je to hongkongský operátor, podle druhého dcera skupiny China Mobile. Obojí platí zároveň.

Dcerám čínských státních operátorů patřilo 70 ze 172 karet

Podle druhého pohledu vyšlo, že 70 ze 172 karet obsluhovala zahraniční dcera jedné ze tří čínských státních skupin China Mobile, China Unicom a China Telecom. To je 40,7 procenta, a je to podobné u všech šesti destinací: od 31 procent u Vietnamu po 57 procent u samotné Číny. U Japonska vyšlo 38 procent, u Koreje 37, u Thajska 40.

Domovští operátoři se ve vzorku opakovali. Bylo jich 17, ale první tři z nich obsluhovali 111 karet, tedy 64,5 procenta. Samotná China Mobile Hong Kong měla 56 karet, tedy 32,6 procenta; následovaly 3HK s 35 kartami a HKT s dvaceti. Zákazník tedy může koupit kartu na jiné platformě, pod jinou značkou a za jinou cenu a skončit u téhož operátora.

Na prodejní stránce stál jiný operátor než v kartě

Organizace k naměřeným kódům přiřadila i to, co o kartě tvrdil prodejce. U 118 ze 172 karet se jméno operátora na prodejní stránce s naměřeným rozcházelo, u 20 nebyl uvedený vůbec a jen u 34 souhlasil. Podle sdružení se tak zákazník obvykle dozví, jestli ho obsluhuje místní operátor nebo roaming přes třetí zemi, až na místě po aktivaci.

Část nabídek slibuje „původní“ nebo „nativní“ místní linku. Organizace si u toho dává pozor: každá cestovní eSIM se na internet dostane přes síť navštívené země, takže tvrzení nejde označit za nepravdivé, jen může zákazníka utvrdit v tom, že kartu vydal místní operátor. Jednoduchá zkouška podle sdružení je, jestli se po aktivaci musí v telefonu zapnout datový roaming; pokud ano, jde spíš o přeprodanou kartu jiné země.

Proč se provoz vrací jinam

Proč na tom záleží, vysvětlil už v červnu 2026 tchajwanský stát. Nejdřív to byl odbor kybernetické bezpečnosti ministerstva pro digitální rozvoj, pak 9. července i Národní institut kybernetické bezpečnosti: u většiny cestovních eSIM nejde provoz z místní sítě přímo do internetu, ale vrací se nejdřív k domovskému operátorovi a teprve z jeho sítě vystupuje. Tomu se říká home-routed roaming. Domovský operátor pak vidí, kdy se zákazník připojil, odkud, na jaké služby a jaké doménové dotazy poslal. Obsah šifrovaného spojení nevidí, tyhle údaje o spojení ano.

Obě tchajwanská varování se opírají o práci čtyř výzkumníků z Northeastern University, kterou v roce 2025 přednesli na 34. konferenci USENIX Security Symposium. Ti si koupili profily od 25 prodejců včetně Holafly, Airalo a eSIM Access a zjistili, že veřejná adresa telefonu skoro nikdy neodpovídala tomu, kde telefon fyzicky je. U karty irské firmy Holafly vedl provoz přes hongkongský uzel China Mobile International a telefon dostal adresu 223.118.51.96, patřící téže firmě; cizím službám se tak připojení telefonu jevilo jako přístup z Číny.

Co z toho má majitel telefonu

Nepříjemnosti začínají u drobností. Služba zablokuje účet, protože se přihlašuje z jiné země, než ve které zákazník je, nebo se některá aplikace nespustí vůbec. Horší je to u plateb: tchajwanský institut i spotřebitelská organizace shodně radí přes neznámou cestovní eSIM nechodit do internetového bankovnictví a nezadávat čísla karet, a po návratu domů eSIM z telefonu odstranit. Organizace k tomu dodává, že kdo chce mít jistotu, koupí si eSIM od domácího operátora nebo přímo od operátora v cílové zemi. V prohlížeči si cestovní eSIM od pátého října prodává i Opera.

Samotný roaming přes třetí zemi není bezpečnostní vada, upozorňuje sdružení; vada je, že se o něm zákazník nedozví. Po úřadech proto chce, aby prodejní stránka musela povinně uvádět operátora, který službu opravdu poskytuje, jestli jde o roaming, kudy data tečou a přes které další země. Tchajwanský zákon na ochranu spotřebitele podle organizace umožňuje za nedodržení takové povinnosti pokutovat.

Zdroje: tisková zpráva Consumers' Foundation ze 6. října 2026 včetně metodiky a tabulek, upozornění tchajwanského Národního institutu kybernetické bezpečnosti z 9. července 2026, rozbor TWCERT/CC z 26. června 2026, práce „eSIMplicity or eSIMplification? Privacy and Security Risks in the eSIM Ecosystem“ z USENIX Security Symposium 2025 a zpráva iTnews o téže práci. Historii zmenšování karty popisuje článek o cestě od mini SIM k eSIM.