出国旅行扫一下 QR code，5 分钟上网发限动，这种便利大家都享受过。eSIM 确实改变了旅行体验，但有一个问题没有多少人认真问过：为什么这么便宜？
便宜从来不是白来的，这道理在 eSIM 身上同样成立。
eSIM 便宜的背后：虚拟业者的生意经
eSIM 供应商本质上是”虚拟行动网路业者”，自己没有基地台，专门批量向真正的电信公司购买流量，再零售给用户赚差价。既然成本越低利润越高，他们当然去找最便宜的流量来源。全球最便宜的电信流量在哪？中国。因为中国政府长期补贴基地台和电信基础设施，中国电信公司的运营成本在全球偏低，可以卖出其他国家根本没办法竞争的价格。
这就解释了为什么你人在日本，手机显示 NTT Docomo 信号，感觉一切正常，但实际上，你的数据封包在经过当地基地台之后，会被”回传”到 eSIM 厂商指定的 Home Network，而这个 Home Network 往往就是中国的电信公司。表面上你连的是日本网络，实际上流量绕道香港或中国大陆才出去。这种架构叫做 home-routed roaming，是完全合规的技术，只是没人告诉你。
你以为在用欧洲 eSIM，数据已经到中国去了
2025 年，顶尖资安学术论坛 USENIX Security 收录了一篇论文《eSIMplicity or eSIMplification?》，研究团队买了多家旅行 eSIM 测试，逐一追踪 IP 路由、配置档、转售商等信息。
结果很有意思。Holafly（总部在爱尔兰，市场定位是欧洲品牌），被研究团队测出来的公开 IP 地址指向了 China Mobile International Limited，也就是中国移动的海外子公司。不只是 IP，整个 traceroute 路径多次经过中国移动及其香港节点，就连 eSIM 配置档的存储位置（SM-DP+）也指向中国移动相关网络。换句话说，你以为买的是欧洲货，数据全程走的是中国电信的基础设施。
这也是为什么人在巴黎，ChatGPT、Claude、Gemini 全部打不开。OpenAI、Anthropic 等 AI 公司已封锁来自中国和香港的 IP，你的请求从中国节点出去，自然被拦截。你去重开手机、换酒店 Wi-Fi，什么都解决不了，因为根本就找错了问题。
加密了又怎样：元数据才是真正的武器
“我的流量都是 HTTPS 加密的，他们看不到内容，有什么好怕的？”
这个问题问得好，答案可能让你不舒服。
加密保护的是内容，但中间节点仍然可以看到元数据（Metadata）：你在哪里上网、几点上网、用了哪些 APP、每个 APP 的流量大小、你用了哪些中国应用程序。我不需要知道你和 ChatGPT 说了什么，只需要知道你几点从哪个位置连接了哪些服务，已经可以勾勒出一张相当完整的行为地图。
这不是抽象威胁。中国目前在全球至少 53 个国家设有海外警察站，截至 2024 年据中国公安部长透露已有 2700 名海外警察，并计划扩充至 5700 人。这些站点名义上服务华人社区，实际上承担着监控境外异见人士与刺探驻在国情报的功能。肖建华在香港被跨境带走，桂民海在泰国被捕，都是拿着外国国籍照样出事的案例。
免费 VPN：免费的才是最贵的
eSIM 是出国的问题，留在家里你会用 VPN。看 Netflix 解锁地区内容、查订房网站差价，都是很正常的理由。但 VPN 背后的老板，你认识吗？
2018 年，Top10VPN 调查了美英应用商店最热门的 30 款免费 VPN，发现 17 款与中国有关联，86% 存在隐私政策问题，64% 连官方网站都没有。到 2020 年，相关追踪发现中国系免费 VPN 全球安装量达 2.23 亿次。2025 年，Tech Transparency Project 调查美国 App Store 前 100 名免费 VPN，超过 20 款明显属于中国企业，且都刻意隐藏与中国的关联，其中几款背后就是奇虎 360（Qihoo 360）。这家公司在中国以”流氓软件”闻名，已被美国商务部列入实体清单，旗下 Turbo VPN、VPN Proxy Master、Thunder VPN、Snap VPN 均被点名。
更骇人的是，Citizen Lab（公民实验室）在 2025 年发布的研究《Hidden Links》发现，看似来自不同公司的 VPN，共享基础设施，甚至共享 APK 内的 Shadowsocks 密码。品牌不同，内核可能是同一套系统长出来的不同皮肤。
最懂 eSIM 风险的人，正是禁止自己人用的那个
有一个细节值得玩味：全球最大的 eSIM 供应国是中国，但中国政府对本国国民使用 eSIM 的管制极为严格。2025 年之前 eSIM 在中国境内基本处于禁止状态，开放后也仅限政府核准的白名单机型，并要求实名制到店核验，境内还不得安装非中国电信商的 eSIM。
最懂这门生意风险的人，不让自己人用。这个逻辑，够清楚了。
研究人员还发现另一个技术威胁：STK（SIM Application Toolkit）。SIM 卡本身可以主动向手机发出”proactive command”，包括主动发送短信、传送定位、打开特定网页，不需要用户操作。部分旅行 eSIM 被发现存在程度不一的 STK 行为。以色列过去能精准定位目标，靠的也是类似的手机侧信道能力。一张 SIM 卡能主动回报你的位置，这件事有多危险，看看那些案例就知道。
小结
这件事的结构其实很简单：便宜吸引用户，网红推广扩大覆盖，背后的数据流向从来没人解释清楚。
中国《国家情报法》第七条要求公民配合情报工作，《网络安全法》第二十六条要求服务商收集用户真实身份，《公司法》允许企业内部党组织要求公司配合。三条法律叠在一起，就是电信公司和网络服务商有法律义务把你的数据交出去，没有商量余地。
如果你是普通游客，风险程度因人而异，自己衡量。
但如果你是政府官员、军警情治人员、国防科技供应链高层，或者关键基础设施主管，用中国、香港、澳门背景的 eSIM 或来路不明的免费 VPN 出行，真的要想一想这笔账划不划得来。
不是叫你恐慌，是叫你搞清楚：你到底在为谁的生意买单，人家又在你的数据里买走了什么。
