eSIM du lịch đã trở thành cách tiện nhất để có dữ liệu di động khi ra nước ngoài: mua gói trên mạng, quét mã QR, và điện thoại tự kết nối khi bạn hạ cánh. Nhiều người nghĩ "eSIM Nhật" hay "eSIM Thổ Nhĩ Kỳ" nghĩa là dữ liệu của mình đi qua nhà mạng Nhật hay Thổ Nhĩ Kỳ. Một thử nghiệm mới công bố tháng 10/2026 cho thấy với phần lớn eSIM du lịch, suy nghĩ đó là sai.

Bài này giải thích nghiên cứu đã phát hiện gì, vì sao điều đó quan trọng với quyền riêng tư của bạn và các app bạn dùng, và bạn có thể làm gì cho hợp lý. Bài cũng nói về một quy định riêng ở Nga ảnh hưởng tới thẻ SIM từ nước ngoài trở về.

eSIM du lịch hoạt động thế nào

eSIM là thẻ SIM gắn sẵn trong điện thoại. Thay vì lắp thẻ nhựa, bạn tải về một hồ sơ (profile). Nhiều eSIM du lịch được bán qua các đại lý bán lại, tức các công ty mua quyền truy cập từ nhà mạng rồi đóng thành gói cho khách du lịch.

Hồ sơ này thường thuộc về một nhà mạng ở nước khác, và điện thoại dùng mạng địa phương thông qua thoả thuận chuyển vùng (roaming). Khi chuyển vùng, dữ liệu của bạn có thể đi ngược về mạng của nhà mạng gốc, hoặc tới một địa điểm khác do nhà mạng đó chọn, trước khi ra Internet. Điều này bình thường trong mạng di động, nhưng cũng có nghĩa là nước bạn đang đứng và nước nơi dữ liệu của bạn đi ra Internet có thể khác nhau.

Thử nghiệm tháng 10/2026 phát hiện gì

Ngày 7/10/2026, Taiwan News đưa tin Quỹ Người tiêu dùng Đài Loan đã thử 172 eSIM bán cho khách đi các điểm đến phổ biến. Chỉ 27,9% dùng mạng đăng ký dưới tên nhà mạng ở đúng quốc gia được quảng cáo; nói cách khác, hơn 70% thì không. Phần lớn kết nối qua chuyển vùng ở nước hoặc vùng lãnh thổ thứ ba, hoặc qua mạng đăng ký ở nơi khác. Khoảng 40% dùng mạng do các tập đoàn viễn thông nhà nước Trung Quốc vận hành, trong đó có China Mobile.

Bản tin cũng cho biết hồi tháng 7/2026, Bộ Kỹ thuật số Đài Loan (Ministry of Digital Affairs) đã cảnh báo eSIM có thể chuyển lưu lượng của người dùng tới máy chủ ở nước thứ ba trước khi đẩy sang mạng địa phương. Quỹ này kêu gọi nhà chức trách buộc nhà cung cấp eSIM công khai nhà mạng, cách truyền dữ liệu và việc lưu lượng có bị chuyển vùng qua một vùng thứ ba hay không.

Nghiên cứu học thuật nói thêm gì

Đây không chỉ là kết quả thử nghiệm của tổ chức tiêu dùng. Maryam Motallebighomi, Jason Veara, Evangelos Bitsikas và Aanjhan Ranganathan (Đại học Northeastern) đã nghiên cứu hệ sinh thái eSIM du lịch và trình bày kết quả tại USENIX Security 2025, một hội nghị lớn về bảo mật máy tính. Các tác giả viết rằng eSIM du lịch thường đưa dữ liệu người dùng qua mạng của bên thứ ba, kể cả hạ tầng Trung Quốc, bất kể người dùng đang ở đâu, làm dấy lên lo ngại về việc dữ liệu rơi vào phạm vi pháp lý của nước khác.

Nhóm nghiên cứu cũng ghi nhận rằng vì quy trình cấp hồ sơ eSIM thiếu minh bạch, đại lý bán lại có thể truy cập dữ liệu nhạy cảm của người dùng, liên lạc với thiết bị và cấp địa chỉ IP công khai mà người dùng không hề hay biết.

Điều này có ý nghĩa gì với bạn

Lưu lượng của bạn có thể chịu luật của nước khác

Nếu dữ liệu của bạn đi ra qua mạng ở một nước thứ ba, nhà mạng ở đó xử lý kết nối của bạn và kết nối ấy chịu sự điều chỉnh của luật nước đó. HTTPS vẫn mã hoá nội dung của phần lớn trang web và app, nhưng nhà mạng có thể thấy siêu dữ liệu (metadata), như bạn kết nối tới máy chủ nào và vào lúc nào.

Bạn có thể trông như đang ở nơi khác

Trang web và app thấy địa chỉ IP công khai nơi lưu lượng của bạn đi ra. Với eSIM chuyển vùng, địa chỉ đó có thể thuộc một nước khác với nơi bạn đang ở. App ngân hàng có thể đòi kiểm tra thêm, cửa hàng có thể hiện giá của vùng khác, và một số dịch vụ có thể không chịu hoạt động. Chúng tôi giải thích vì sao dịch vụ phản ứng như vậy trong bài Vì sao một số app không chịu chạy khi bật VPN; khi bạn bỗng mang một IP nước ngoài, lý do cũng tương tự.

Đại lý bán lại cũng nằm trong chuỗi

Bên bán eSIM cho bạn không chỉ là một cửa hàng. Theo nghiên cứu USENIX, đại lý bán lại có thể truy cập dữ liệu nhạy cảm và kiểm soát một phần kết nối, nên độ đáng tin của đại lý cũng quan trọng ngang với nhà mạng.

Một vấn đề riêng: Nga chặn SIM 24 giờ sau chuyến đi

Người trở về Nga gặp một vấn đề khác. Ngày 11/11/2025, Novaya Gazeta Europe đưa tin Bộ Phát triển Kỹ thuật số đã áp lệnh chặn Internet di động và SMS trong 24 giờ đối với thẻ SIM từ nước ngoài trở về và thẻ không được dùng trong 72 giờ. Người dùng có thể gỡ chặn sớm hơn bằng cách hoàn thành captcha do nhà mạng gửi, dù một tờ báo cho biết đường link của một nhà mạng có vẻ không hoạt động. Hồi tháng 10/2025, thẻ SIM nước ngoài đã bị chặn dữ liệu và tin nhắn trong 24 giờ sau khi vào Nga. Lý do Bộ đưa ra là để ngăn thẻ SIM bị dùng để dẫn đường cho máy bay không người lái (drone).

Các quy định này có thể đã thay đổi kể từ tháng 11/2025. Nếu bạn đi tới hoặc từ Nga, hãy xem hướng dẫn hiện hành của nhà mạng, giữ sẵn thông tin quan trọng ở dạng ngoại tuyến và tính trước cho một ngày không có dữ liệu di động.

Những biện pháp đề phòng hợp lý

  • Hỏi trước khi mua. Chọn nhà cung cấp nêu rõ tên nhà mạng và cho biết lưu lượng có bị chuyển vùng qua nước khác hay không. Nếu họ không chịu nói, hãy tính đến điều đó khi chọn.
  • Kiểm tra xem bạn đang hiện ở đâu. Sau khi kết nối, mở IP của tôi là gì để xem địa chỉ công khai, và dùng Tra cứu địa chỉ IP để biết địa chỉ đó thuộc mạng và quốc gia nào.
  • Cẩn thận với các việc nhạy cảm. Quỹ Người tiêu dùng khuyên tránh ngân hàng trực tuyến và thanh toán bằng thẻ trừ khi bạn xác nhận được mạng an toàn. Hãy dùng trang HTTPS và app chính thức.
  • Cân nhắc một VPN bạn tin tưởng. Quỹ này cũng gợi ý dùng HTTPS hoặc VPN khi có thể. VPN mã hoá lưu lượng giữa điện thoại và máy chủ VPN, nên nhà mạng chuyển vùng thấy ít hơn. VPN không thay đổi bên nào chuyên chở dữ liệu của bạn, nên nó bổ sung chứ không thay thế cho việc chọn nhà cung cấp minh bạch.
  • Ở lâu thì ưu tiên nhà mạng địa phương có tên rõ ràng. SIM hoặc eSIM của một nhà mạng ở nước bạn đến sẽ giữ lưu lượng của bạn trong mạng của nước đó.
  • Xoá hồ sơ cũ. Xoá các hồ sơ eSIM du lịch không còn dùng, và cập nhật phần mềm điện thoại thường xuyên.
  • Wi-Fi khách sạn và sân bay có rủi ro riêng. Xem hướng dẫn dùng Wi-Fi công cộng an toàn của chúng tôi.

Điểm chính

  • Trong thử nghiệm công bố tháng 10/2026, chỉ 27,9% trong 172 eSIM du lịch dùng nhà mạng ở đúng nước được quảng cáo; khoảng 40% dùng mạng của các tập đoàn nhà nước Trung Quốc.
  • Chuyển vùng có thể đưa dữ liệu của bạn qua một nước thứ ba, khiến bạn có IP nước ngoài và để lộ siêu dữ liệu cho một nhà mạng khác.
  • Đại lý bán lại có thể có nhiều quyền truy cập hơn phần lớn người mua nghĩ.
  • Hãy chọn nhà cung cấp minh bạch, kiểm tra IP, dùng HTTPS và, nếu muốn, một VPN bạn tin tưởng.