一、監管重點
AGCOM 於2026年10月20日發布通信網路與基礎設施委員會議程，提出修改 86/21/CIR，依據技術委員會對 SIM/eSIM 普及與通信資安演變的研究成果，重新評估換卡與攜碼的安全機制。現行架構要求換卡、遺失補卡、故障換卡及 eSIM 虛擬變更原則上由 SIM 持有人提出，並透過身分核驗與通知機制降低 SIM swap 風險；本次議程本身尚不代表新規則已生效。
二、對企業的影響
若企業把義大利手機號碼作為唯一的 OTP 或帳號復原因子，換卡期間可能出現驗證碼中斷、號碼狀態變化無法及時辨識、客戶遭鎖定等問題。對旅行通信、數位銀行、金融科技、遊戲平台與跨境客服而言，eSIM 啟用、號碼移轉與簡訊到達並非彼此獨立，任何一個環節的身分核驗失敗，都可能放大帳號接管與客服申訴成本。供應商若無法提供換卡事件、操作者、時間戳記與通知紀錄，也會增加後續稽核難度。
三、操作建議
企業應先向義大利電信業者、MVNO、eSIM 分銷商與簡訊聚合商索取現行 SIM swap 控制矩陣，釐清線上換卡、門市換卡、eSIM 重新下載與攜碼的身分核驗差異。OTP 系統應串接號碼變更、SIM swap 或近期攜碼訊號，在高風險期間暫停高價值操作，並提供驗證器、裝置綁定或人工複核等替代路徑。同時保存使用者通知、核准結果、失敗原因與供應商回覆，避免只記錄簡訊是否送達。
常見問題
AGCOM 這次議程是否代表義大利已發布新的 eSIM 換卡要求？
不代表立即生效。2026年10月20日公布的是委員會審議議程，內容是依據技術委員會成果研究是否修改 86/21/CIR。企業目前應依現行規則運作，同時向當地電信業者確認後續徵詢、技術實施與過渡安排，不能把議程日期當成新的合規截止日。
使用義大利手機號碼發送 OTP，為什麼要關注 SIM swap 而不只是簡訊到達率？
簡訊送達只能表示訊息進入網路或終端，不能證明號碼仍由原使用者控制。SIM swap 發生後，攻擊者可能接收 OTP、重設帳號或繞過簡訊雙重驗證。企業應把近期換卡、攜碼與號碼歸屬變化納入風控訊號，並在高風險期間改用裝置綁定或驗證器驗證。
跨境簡訊供應商應要求提供哪些紀錄？
至少應包括換卡或 eSIM 重新下載事件、號碼移轉時間、身分核驗方式、操作主體、失敗原因、使用者通知狀態與供應商工單號。對 OTP 場景，還應確認是否能透過 API 或安全報告輸出風險事件，並規定異常事件的通知時限與證據保存期限。
參考來源
本文僅供資訊參考，不構成法律意見。