eSIM gratis: rischi di proxy e furto codici nel 2026

Una eSIM gratis può diventare un proxy malevolo?

È possibile, ma di solito il problema non è il profilo eSIM in sé. Il rischio maggiore arriva da un’app complementare non affidabile, un pacchetto installato al di fuori degli store ufficiali, una VPN o una procedura di configurazione abbinata all’offerta “gratuita”. Un software malevolo può inoltrare di nascosto il traffico internet di altre persone attraverso il dispositivo dell’utente.

In questo modo, lo smartphone o la rete diventano un nodo di uscita di un proxy residenziale. I siti visitati vedono l’indirizzo IP mobile o domestico della vittima, non la vera origine del traffico. Per i criminali queste connessioni sono preziose, perché il traffico residenziale può sembrare più affidabile di quello proveniente da un data center.

Nel 2026 l’FBI ha avvertito che malware distribuiti insieme a contenuti o software gratuiti possono arruolare i dispositivi nelle reti di proxy residenziali. Altre ricerche di sicurezza hanno inoltre individuato software proxy nascosti in dispositivi destinati ai consumatori. Queste evidenze non dimostrano che le prove gratuite offerte da operatori eSIM legittimi siano pericolose. Mostrano, però, perché una connettività gratuita poco trasparente e legata all’installazione di software invasivo debba essere valutata con attenzione.

Per approfondire il modello di minaccia e le misure di protezione, consulta l’avviso dell’FBI sulle reti di proxy residenziali.

Come funziona la catena del proxy malevolo

Tutto parte da un incentivo difficile da ignorare: traffico dati gratuito, una prova senza costi, premi o connettività continua. L’utente installa un’app, concede permessi molto ampi oppure lascia attivo un servizio in background. A quel punto, chi gestisce il sistema può instradare sul dispositivo richieste provenienti da terzi.

• L’esca: una eSIM o un pacchetto dati gratuito abbassa la diffidenza e spinge a installare tutto in fretta.
• Il punto d’ingresso: l’app associata ottiene privilegi di rete, attività in background, VPN, accessibilità o lettura delle notifiche.
• L’inoltro: clienti remoti fanno passare il proprio traffico attraverso la connessione e l’indirizzo IP dell’utente.
• L’abuso: il traffico inoltrato può servire per creare account, estrarre dati dai siti, commettere frodi pubblicitarie, tentare furti di credenziali o svolgere altre attività vietate.
• Le conseguenze: l’utente può notare batteria che si scarica rapidamente, consumo anomalo di giga, prestazioni peggiori, indirizzi IP bloccati o controlli legati ad attività che non ha mai svolto.

Può rubare i codici di verifica via SMS?

Una normale eSIM solo dati non può leggere automaticamente i messaggi di verifica ricevuti su un’altra linea. Per sottrarre un codice serve in genere una capacità aggiuntiva o un attacco separato. È quindi fuorviante sostenere che qualsiasi eSIM gratuita possa leggere da sola tutti gli SMS.

Un’app complementare malevola, però, può rendere possibile il furto se l’utente concede accessi sensibili. I criminali possono anche combinare l’offerta con phishing, intercettazione delle notifiche, abuso delle procedure di recupero dell’account o tecniche di SIM swap.

Anche la guida della Federal Trade Commission statunitense contro il SIM swap consiglia metodi di autenticazione più robusti, quando disponibili. Per gli account importanti, un’app di autenticazione, una chiave di sicurezza fisica o una passkey sono in genere più sicure di un codice via SMS.

Segnali di allarme in un’offerta “eSIM gratis”

Un servizio gratuito può essere perfettamente legittimo. Alcuni fornitori offrono una piccola quantità di dati per provare la copertura, acquisire nuovi clienti o sostenere una promozione limitata. Il rischio aumenta quando mancano un’identità aziendale verificabile, un modello di finanziamento comprensibile e una procedura d’installazione proporzionata al servizio.

• L’app chiede accesso alle funzioni di accessibilità, alle notifiche, agli SMS, ai contatti, all’amministrazione del dispositivo o a una VPN sempre attiva senza una ragione chiara.
• Il venditore distribuisce un APK, un file di configurazione o un profilo al di fuori di uno store ufficiale e non fornisce dati societari verificabili.
• L’informativa sulla privacy autorizza la condivisione della banda, l’“ottimizzazione della rete”, servizi peer-to-peer, la monetizzazione del traffico o l’uso del dispositivo come nodo.
• L’azienda promette dati gratuiti illimitati, ma non spiega limiti, sponsorizzazioni, pubblicità o un’altra fonte di ricavi credibile.
• L’attivazione richiede l’accesso a un social network, un codice bancario, il PIN dell’operatore, un codice di recupero o una sessione di controllo remoto.
• L’app continua a consumare dati, batteria o risorse in background anche quando la eSIM è disattivata o non serve più.
• L’assistenza mette fretta oppure scoraggia la revoca dei permessi.

Come verificare in sicurezza una eSIM gratuita

Per prima cosa, separa il profilo eSIM dal software usato per venderlo o gestirlo. iPhone e Android includono già le impostazioni di sistema necessarie per aggiungere una eSIM. L’app del fornitore può essere comoda, ma non dovrebbe aver bisogno di leggere messaggi, notifiche e contatti né di controllare lo schermo.

Se è la prima volta che attivi una eSIM, consulta la nostra guida per scansionare in sicurezza un codice di attivazione eSIM. Se cerchi una promozione, confronta anche le condizioni indicate nella nostra guida ai migliori servizi eSIM gratuiti oppure esamina le prove gratuite di eSIM negli Stati Uniti.

Checklist pratica prima dell’installazione

• Identifica la società: verifica sito, canale di assistenza, condizioni contrattuali e informativa sulla privacy.
• Leggi prima i permessi: rifiuta gli accessi che non servono per acquistare, installare o gestire il traffico dati.
• Valuta il modello di business: cerca una spiegazione credibile di come viene finanziato il traffico gratuito.
• Usa procedure ufficiali: preferisci le impostazioni eSIM integrate nello smartphone, un’app verificata nello store o un QR code fornito nell’area personale autenticata del venditore.
• Proteggi gli account importanti: quando possibile, sostituisci l’autenticazione via SMS con passkey, chiavi di sicurezza o un’app di autenticazione.
• Metti al sicuro la SIM principale: imposta un PIN per l’account presso l’operatore e attiva eventuali blocchi contro il trasferimento non autorizzato del numero.
• Elimina ciò che non usi più: disinstalla l’app, revoca i permessi, rimuovi i profili VPN sconosciuti e cancella la eSIM al termine della prova.

Un’alternativa più sicura senza inseguire il “tutto gratis”

Per chi parte dall’Italia, una eSIM da viaggio economica acquistata da un venditore trasparente è spesso un compromesso migliore di un servizio gratuito che non spiega come funziona. Dai priorità a condizioni chiare, assistenza raggiungibile, permessi coerenti con il servizio, pagamento protetto e installazione semplice.

La nostra selezione aggiornata permette di confrontare operatori commerciali già affermati. La presenza nell’elenco è un punto di partenza, non sostituisce i controlli di sicurezza personali: app, proprietà societaria, informative e permessi possono cambiare.

Non scegliere un’offerta basandoti soltanto su un post visto sui social o su un QR code condiviso in un forum. Apri personalmente il sito ufficiale del fornitore e verifica che la stessa promozione sia pubblicata anche lì. Se le condizioni non coincidono, fermati prima di scansionare qualsiasi codice.

Cosa fare se hai già installato un’app eSIM sospetta

Intervieni rapidamente, ma senza dare per scontato il peggio. Installare una eSIM sconosciuta non dimostra che gli account siano già stati compromessi. L’obiettivo è eliminare gli accessi nascosti, conservare le informazioni utili e mettere in sicurezza gli account più esposti al furto dei codici di verifica.

1. Disconnetti la eSIM sospetta e disattiva i dati mobili sulla linea associata.
2. Salva schermate con nome dell’app, sviluppatore, permessi, impostazioni VPN, consumo della batteria e traffico dati.
3. Revoca i privilegi relativi a notifiche, accessibilità, SMS, VPN, amministrazione del dispositivo e dati in background.
4. Disinstalla l’app collegata, rimuovi profili di configurazione o VPN sconosciuti e cancella la eSIM.
5. Aggiorna lo smartphone ed esegui i controlli di sicurezza integrati nel sistema operativo.
6. Da un dispositivo affidabile, cambia le password più importanti, iniziando da email, account dell’operatore, banca e gestore di password.
7. Controlla le sessioni attive e disconnetti i dispositivi che non riconosci.
8. Contatta subito il tuo operatore se il numero principale perde la rete o sospetti un SIM swap.

FAQ

Tutte le eSIM gratuite sono truffe?

No. Alcuni fornitori propongono prove legittime o piccole quantità di dati promozionali. Il rischio dipende dall’azienda, dal modello di finanziamento, dal metodo d’installazione, dai permessi e dalle condizioni sulla privacy, non dalla sola parola “gratis”.

Un profilo eSIM può leggere i miei SMS?

Un normale profilo eSIM solo dati non legge automaticamente i messaggi ricevuti su un’altra linea. Il furto dei codici richiede in genere permessi concessi a un’app, accesso alle notifiche, phishing, malware, compromissione dell’account dell’operatore o un altro meccanismo separato.

Perché i criminali dovrebbero usare il mio smartphone come proxy?

Un indirizzo IP mobile o residenziale può sembrare più legittimo di quello di un server. Gli aggressori possono instradare le proprie attività attraverso i dispositivi dei consumatori per aggirare blocchi, nascondere la posizione o rendere più difficile riconoscere il traffico automatizzato.

Scansionare il QR code di una eSIM è pericoloso?

Scansionare un codice fornito da un venditore affidabile è un normale metodo di attivazione. Il rischio nasce da codici non verificati, pagine di accesso false, istruzioni di configurazione malevole o richieste di permessi e credenziali che non hanno nulla a che fare con la eSIM.

Qual è l’alternativa più sicura ai codici di verifica via SMS?

Quando il servizio lo consente, usa una passkey, una chiave di sicurezza fisica o un’app di autenticazione. Proteggi inoltre l’account presso il tuo operatore mobile con un PIN univoco e con qualsiasi blocco disponibile contro il trasferimento del numero.