eSIM grátis: riscos de proxy e roubo de códigos em 2026

Uma eSIM grátis pode tornar-se um proxy malicioso?

É possível, mas o perfil eSIM raramente é o mecanismo usado no ataque. O risco maior está numa aplicação associada que não seja de confiança, num pacote instalado fora da loja oficial, numa VPN ou num processo de configuração incluído numa oferta «gratuita». Esse software pode encaminhar, de forma discreta, o tráfego de outras pessoas através do telemóvel do utilizador.

O equipamento ou a ligação passam assim a funcionar como um ponto de saída de proxy residencial. Para os sites visitados, o tráfego parece vir do endereço IP móvel ou doméstico da vítima, e não da sua verdadeira origem. Estas ligações são valiosas para criminosos porque um IP residencial tende a levantar menos suspeitas do que um IP de um centro de dados.

Em 2026, o FBI alertou que malware distribuído juntamente com conteúdos ou software gratuitos pode integrar dispositivos em redes de proxies residenciais. Investigações de segurança independentes também detetaram software de proxy oculto em equipamentos de consumo. Isto não significa que os períodos de teste gratuitos oferecidos por empresas legítimas sejam maliciosos. Significa, sim, que uma oferta de conectividade gratuita sem explicação clara, sobretudo quando exige software invasivo, deve ser analisada com cuidado.

Para compreender o cenário de ameaça e as medidas de proteção, consulte o alerta do FBI sobre redes de proxies residenciais.

Como funciona a cadeia do proxy malicioso

Tudo costuma começar com uma proposta difícil de ignorar: dados móveis grátis, um período de teste, recompensas ou acesso contínuo à Internet. O utilizador instala uma aplicação, aceita permissões muito abrangentes ou deixa um serviço ativo em segundo plano. A partir daí, o operador do esquema pode encaminhar pedidos de terceiros através do dispositivo.

• O isco: uma eSIM ou um pacote de dados gratuito reduz a desconfiança e incentiva uma instalação apressada.
• O acesso inicial: a aplicação associada obtém privilégios de rede, execução em segundo plano, VPN, acessibilidade ou leitura de notificações.
• O encaminhamento: clientes remotos enviam tráfego através da ligação e do endereço IP do utilizador.
• O abuso: esse tráfego pode ser usado para criar contas, extrair dados de sites, cometer fraude publicitária, atacar credenciais ou realizar outras atividades proibidas.
• As consequências: a vítima pode notar consumo excessivo de bateria e dados, menor desempenho, bloqueio do IP ou até ser associada a tráfego que nunca gerou.

Pode roubar códigos de verificação por SMS?

Uma eSIM normal, apenas com dados, não consegue simplesmente ler mensagens de verificação recebidas noutra linha. Para roubar esses códigos, o atacante precisa normalmente de outra capacidade ou de um ataque separado. Por isso, é enganador afirmar que qualquer eSIM gratuita consegue ler automaticamente todos os SMS.

No entanto, uma aplicação maliciosa associada à oferta pode permitir o roubo se o utilizador lhe conceder acessos sensíveis. Os atacantes também podem combinar a campanha com phishing, interceção de notificações, abuso dos mecanismos de recuperação de conta ou técnicas de troca fraudulenta de SIM.

A orientação da Federal Trade Commission dos Estados Unidos sobre fraudes de troca de SIM também recomenda métodos de autenticação mais robustos sempre que estejam disponíveis. Para contas importantes, uma aplicação de autenticação, uma chave física de segurança ou uma passkey é, em regra, mais segura do que um código por SMS.

Sinais de alerta numa oferta de «eSIM grátis»

Um serviço gratuito pode ser legítimo. Alguns fornecedores disponibilizam uma pequena quantidade de dados para testar a cobertura, atrair clientes ou promover uma campanha limitada. O risco aumenta quando a oferta não identifica claramente a empresa, não apresenta um modelo de financiamento compreensível e exige uma instalação invulgarmente invasiva.

• A aplicação pede acesso às funções de acessibilidade, notificações, SMS, contactos, administração do dispositivo ou VPN permanente sem uma justificação clara.
• O vendedor distribui um ficheiro APK, um ficheiro de configuração ou um perfil fora de uma loja oficial e não fornece dados empresariais verificáveis.
• A política de privacidade prevê partilha de largura de banda, «otimização da rede», serviços peer-to-peer, monetização de tráfego ou utilização do dispositivo como nó.
• A empresa promete dados ilimitados grátis, mas não explica limites, patrocínios, publicidade ou outra fonte de receita credível.
• A ativação exige o início de sessão numa rede social, um código bancário, o PIN do operador, um código de recuperação ou uma sessão de controlo remoto.
• A aplicação continua a consumir dados, bateria ou recursos em segundo plano quando a eSIM está desativada ou já não é necessária.
• O apoio ao cliente pressiona o utilizador a agir de imediato ou tenta impedi-lo de retirar permissões.

Como verificar uma eSIM grátis em segurança

Comece por distinguir o perfil eSIM do software usado para o vender ou gerir. O iPhone e os telemóveis Android já incluem definições próprias para adicionar uma eSIM. Uma aplicação do fornecedor pode ser útil, mas não deve precisar de aceder às suas mensagens, notificações, contactos ou ecrã para gerir dados móveis.

Se nunca ativou uma eSIM, consulte o nosso guia para ler um código de ativação eSIM em segurança. Se procura uma promoção, pode ainda comparar as condições no nosso guia dos melhores serviços de eSIM grátis ou conhecer os testes gratuitos de eSIM nos Estados Unidos.

Lista prática antes da instalação

• Identifique a empresa: confirme o site, os canais de apoio, os termos do serviço e a política de privacidade.
• Leia primeiro as permissões: recuse acessos que não sejam necessários para comprar, instalar ou gerir dados móveis.
• Analise o modelo de negócio: procure uma explicação credível para o financiamento da oferta gratuita.
• Use métodos oficiais de instalação: prefira as definições de eSIM do telemóvel, uma aplicação verificada na loja oficial ou um código QR obtido na área autenticada do fornecedor.
• Proteja as contas importantes: substitua a autenticação por SMS por passkeys, chaves de segurança ou uma aplicação de autenticação, sempre que possível.
• Proteja o seu cartão SIM principal: defina um PIN na conta do operador e ative o bloqueio de portabilidade ou do número, se essa opção existir.
• Remova o que já não usa: desinstale a aplicação, retire as permissões, elimine perfis de VPN desconhecidos e apague a eSIM no fim do teste.

Uma alternativa mais segura sem correr atrás do «grátis»

Para quem viaja a partir de Portugal, uma eSIM de viagem económica vendida por uma empresa transparente costuma ser uma escolha mais sensata do que um serviço gratuito sem explicação. Dê prioridade a condições claras, apoio acessível, permissões normais, pagamento seguro e instalação simples.

A nossa seleção atual permite comparar fornecedores comerciais já estabelecidos. A presença numa lista é apenas um ponto de partida e não substitui a sua própria verificação de segurança, porque as aplicações, os proprietários, as políticas e as permissões podem mudar.

Não escolha uma eSIM apenas com base numa publicação nas redes sociais, numa mensagem de WhatsApp ou num código QR partilhado num fórum. Abra diretamente o site oficial do fornecedor e confirme que a mesma promoção está publicada. Se os detalhes não coincidirem, não leia o código antes de esclarecer a situação.

O que fazer se já instalou uma aplicação suspeita

Atue depressa, mas sem tirar conclusões precipitadas. Instalar uma eSIM desconhecida não prova que as suas contas tenham sido comprometidas. O objetivo é eliminar acessos ocultos, guardar provas úteis e proteger as contas mais expostas ao roubo de códigos de verificação.

1. Desligue a eSIM suspeita e desative os dados móveis da linha associada.
2. Guarde capturas de ecrã do nome da aplicação, do programador, das permissões, das definições de VPN e do consumo de bateria e dados.
3. Retire os privilégios de notificações, acessibilidade, SMS, VPN, administração do dispositivo e dados em segundo plano.
4. Desinstale a aplicação associada, elimine perfis de configuração ou VPN desconhecidos e apague a eSIM.
5. Atualize o telemóvel e execute as verificações de segurança integradas no sistema.
6. Altere as palavras-passe importantes a partir de um dispositivo de confiança, começando pelo correio eletrónico, conta do operador, banco e gestor de palavras-passe.
7. Reveja as sessões ativas e termine a sessão em dispositivos que não reconhece.
8. Contacte imediatamente o seu operador se o número principal ficar sem serviço ou se suspeitar de uma troca fraudulenta de SIM.

Perguntas frequentes

Todas as eSIM gratuitas são fraude?

Não. Alguns fornecedores oferecem períodos de teste legítimos ou pequenos pacotes promocionais de dados. O risco depende da empresa, do modelo de financiamento, do método de instalação, das permissões e das regras de privacidade — não apenas da palavra «grátis».

Um perfil eSIM pode ler as minhas mensagens?

Um perfil eSIM normal, destinado apenas a dados, não lê automaticamente mensagens recebidas noutra linha. O roubo de códigos exige geralmente permissões de uma aplicação, acesso às notificações, phishing, malware, controlo da conta junto do operador ou outro mecanismo separado.

Porque é que os criminosos querem usar o meu telemóvel como proxy?

Um endereço IP móvel ou residencial pode parecer mais legítimo do que o IP de um servidor. Os atacantes encaminham a atividade através de dispositivos de consumidores para contornar bloqueios, disfarçar a localização ou dificultar a identificação de tráfego automatizado.

É perigoso ler um código QR de eSIM?

Ler um código fornecido por uma empresa de confiança é um método normal de ativação. O perigo está nos códigos não verificados, nas páginas de início de sessão falsas, nas instruções de configuração maliciosas ou nos pedidos de permissões e credenciais sem relação com o serviço.

Qual é a alternativa mais segura à verificação por SMS?

Use uma passkey, uma chave física de segurança ou uma aplicação de autenticação, se o serviço o permitir. Proteja também a conta do seu operador móvel com um PIN exclusivo e ative qualquer bloqueio de portabilidade disponível.