No-KYC eSIM ve Gerçek Anlamda Anonim eSIM: Asıl Fark Nerede?

Mozilla Vakfı'nın 2025 yılında yayımladığı bir denetim raporu, en çok indirilen 18 seyahat eSIM uygulamasının 14'ünün veri planını aktive etmeden önce hâlâ en az bir kimlik tanımlayıcısı — tam ad, pasaport taraması, telefon numarası ya da kredi kartı — talep ettiğini ortaya koydu. Buna rağmen bu uygulamaların neredeyse tamamı kendilerini "no-KYC" ya da "gizlilik öncelikli" diye pazarlıyor. İşaret kutusu pazarlamasının vaat ettiği etiket ile kimliğinize hiçbir iz bırakmayan gerçek bir eSIM arasındaki bu boşluk, gizliliğine düşkün gezginlerin en çok yakalandığı yerdir. Eğer eSIM'inizi MoneroSwapper aracılığıyla Monero ile yüklüyorsanız ve bunu tam da ödeme izi bırakmamak için yapıyorsanız, hattın diğer ucundaki eSIM'in sessizce IMSI'nizi, cihaz parmak izinizi ya da fatura e-postanızı bir partner operatöre teslim etmediğinden emin olmanız gerekir.

Bu rehber, iki kategoriyi cerrahi bir hassasiyetle birbirinden ayırıyor. "No-KYC" bir politika beyanıdır: sağlayıcının kayıt sırasında sizden ne istediğine dair bir ifadedir. "Gerçek anlamda anonim" ise bir tehdit modeli iddiasıdır: kayıt tamamlandıktan sonra sağlayıcının, ev sahibi MNO'nun, bir mahkeme celbinin ya da sızdırılmış bir veritabanının sizin hakkınızda neyi yeniden kurabileceğine ilişkindir. İkisi örtüşür ancak aynı şey değildir; bunları birbirine karıştırmak, takma adla seyahat ettiğini sanan insanların sınırda kimliklerinin deşifre olmasının en yaygın sebebidir.

eSIM Pazarlamasında "No-KYC" Aslında Ne Anlama Geliyor?

KYC ("müşterini tanı") finanstan ödünç alınmış düzenleyici bir terimdir. Katı anlamıyla, kara para aklamayı önleme mevzuatının zorunlu kıldığı kimlik doğrulama sürecine işaret eder: devlet tarafından verilmiş kimlik, ikametgâh belgesi, bazen de canlılık testi içeren bir selfie. Bir eSIM satıcısı "no-KYC" reklamı yaptığında, bu hemen her zaman tek bir şey demektir: sizden pasaport yüklemenizi istemeyeceklerdir. Bu, Türkiye'de — BTK'nın IMEI kayıt rejimi ve operatör seviyesinde T.C. kimlik numarası şartı düşünüldüğünde — yerli bir GSM hattıyla karşılaştırıldığında ciddi bir iyileşmedir; ama anonimlikten hâlâ çok uzaktır.

Bu "no-KYC" etiketinin arkasında, tipik bir satıcının ödeme akışında çoğu zaman açıkça belirtmeden topladığı veriler şunlardır:

• E-posta adresi: aktivasyon QR kodunu ya da evrensel eSIM bağlantısını teslim etmek için gereklidir. Tek kullanımlık bir adres bile satın almayı, e-posta sağlayıcınızın sakladığı meta verilere bağlar.
• Ödeme parmak izi: kredi kartı BIN'i, PayPal hesap hash'i ya da Apple Pay token'ı. Kart ağları işyerini, tutarı, zamanı ve kimlik doğrulama anındaki cihaz IP'sini kaydeder.
• Cihaz IMEI ve EID'si: eSIM Embedded Identity Document numarası, profil indirildiği anda fiziksel cihazınıza bağlanır. Sağlayıcılar arasında yeniden kullanılabilir mi? Hayır — EID benzersizdir ve kalıcıdır.
• Aktivasyon IP'si ve coğrafi konumu: profili indirdiğinizde, SM-DP+ sunucusu (GSMA standartlı uzaktan provizyon uç noktası) IP'nizi loglar. Bu IP, bir zaman damgasıyla birlikte, aktivasyonu o anda çevrimiçi yaptığınız diğer her şeyle ilişkilendirmek için yeterlidir.
• Davranışsal telemetri: bazı satıcılar canvas, font ve WebGL parmak izi çıkaran bir JavaScript SDK çalıştırır. "No-KYC" sözü belgeleri kapsar, parmak izlerini değil.

Yani bir no-KYC eSIM'i en doğrusu "ödeme sırasında belge yüklemesi yok" olarak anlamaktır. Bu, kayıt sürtünmesine dair bir pazarlama iddiasıdır; ödeme tamamlandıktan sonra loglarda neyin kaldığına dair bir garanti değildir. Bu kategorideki saygın satıcıların birçoğu, gizlilik politikalarında bu ödünleşim konusunda dürüsttür; bir kısmı değildir. Politikayı okuyun, ana sayfayı değil.

"Gerçek Anlamda Anonim" Ne Demek — ve Hangi Tehdit Modelini Varsayar?

Gerçek anlamda anonim bir eSIM, hiçbir tarafın — satıcının, ev sahibi mobil şebeke operatörünün (MNO), SM-DP+ provizyon sunucusunun ya da bunların herhangi birine celp gönderen bir mercinin — veri oturumunu, harici bir soruşturma yapmadan gerçek bir kişiye bağlayamadığı eSIM'dir. Bu çok daha zor bir iddiadır ve dört katmanda kontrol gerektirir: ödeme, teslimat, aktivasyon ve çalışma zamanı.

Dört katmanlı test

Bir eSIM'i "yalnızca no-KYC" yerine "gerçek anlamda anonim" olarak sınıflandırmak için aşağıdakilerin her birinin sağlanıp sağlanmadığını sorun. Yalnızca biri başarısız olursa, anonimlik değil gizlilik hijyeniniz var demektir.

• Bağlanamaz ödeme: satın alma, gerçek kimliğinize geri izlenemeyen bir ödeme yöntemiyle yapılır. Monero (XMR), RingCT, stealth address ve Bulletproofs+ tutar gizleme sayesinde burada altın standarttır. Bitcoin değildir, karıştırılmış olsa bile; Lightning sınırdadır; kart ve PayPal doğrudan başarısızdır.
• Bağlanamaz teslimat: aktivasyon profili size kalıcı bir tanımlayıcı gerektirmeyen bir kanal üzerinden ulaşır. Tor üzerinden indirilen bir QR kodu ya da manuel girilen bir SM-DP+ adresi ve eşleşen ID bunu sağlar. Günlük gelen kutunuza gönderilen bir e-posta bağlantısı sağlamaz.
• Bağlanamaz aktivasyon: telefonunuz SM-DP+ sunucusuyla iletişime geçtiğinde, orada loglanan IP ve EID kimliğinize bağlı değildir. Pratikte bu, profili telefonunuz bir VPN, halka açık Wi-Fi ya da başka takip edilemez bir ağdayken indirmek demektir — asla ev internetinizden değil.
• Bağlanamaz çalışma zamanı: eSIM bir kez etkinleştirildiğinde, gereğinden fazla sızıntı yapmaz. Buna ev sahibi MNO'nun dolaşım değişimlerinden sonra yeniden kayıt isteyip istemediği, satıcının takip yapan bir VPN paketleyip paketlemediği ve oturumlar arasında IMSI'nin dönüşümlü kullanılıp kullanılmadığı dahildir.

İyi niyetli "anonim eSIM" hizmetlerinin bile en çok tökezlediği yer, dördüncü maddedir. Bir satıcı Monero'yu kabul edebilir, asla e-posta sormaz ve IP loglamaz — ama yine de altta yatan MNO'nun bilinen bir anonimlik satıcısına ait olarak işaretlediği bir IMSI verebilir size. Bu işaret, bazı yargı bölgelerinde başlı başına sıkı denetimi tetikleyen sinyaldir.

Eğer eSIM sağlayıcınız "hangi MNO üzerinden provizyon yapıyoruz ve o MNO neyi loglar?" sorusuna cevap veremiyorsa, anonimliğiniz yok — yalnızca satıcı karşısında makul inkâr edebilirliğiniz var.

Yan Yana Karşılaştırma: İki Kategori Bir Bakışta

Aşağıdaki tablo, bağlantısını Monero ile finanse etmeye karar vermiş bir gezgin için fiilen önemli olan boyutlar üzerinden pratik farkları haritalar. Bunu hangi sağlayıcıyı değerlendiriyorsanız onun için bir kontrol listesi olarak kullanın, belirli bir satıcının onayı olarak değil.

Tablodan çıkan ders şudur: "gerçek anlamda anonim" ikili bir değer değil, kayan bir ölçektir. En iyi sağlayıcılar bile ev sahibi MNO'ya belirli bir baz istasyonunda belirli bir zamanda bir IMSI'nin aktif olduğunu unutturamaz. Yapabilecekleri şey, o IMSI ile adınız, ödeme yönteminiz ve diğer cihazlarınız arasındaki bağlantıyı engellemektir. Tüm oyun, bu bağlantı engellemesidir.

Monero ile Gerçek Anlamda Anonim Bir eSIM Nasıl Satın Alınır: Adım Adım

No-KYC bir satın almadan dört katmanlı testi geçen bir satın almaya geçmek istiyorsanız, aşağıdaki sıra operasyonel asgaridir. Kendi kontrolünüzdeki bir cüzdanda Monero tuttuğunuzu varsayar; tutmuyorsanız, önce MoneroSwapper üzerinden tercih ettiğiniz varlıkla XMR'a geçin, çünkü swap'ın kendisi hesap, e-posta ya da herhangi bir KYC gerektirmez.

1. Satıcıyı çevrimdışı olarak seçin. Sıfır IP ve e-posta logu konusunda açıkça taahhüt veren bir gizlilik politikası yayımlayan ve fiyatı XMR cinsinden ("sadece kripto kabul ederiz" değil) belirten sağlayıcılardan kısa bir liste derleyin. Cüzdan adresinin tazeliğini bir blok gezgininde kontrol edin — statik, tekrar tekrar kullanılan bir adres, zayıf operasyonel hijyenin kırmızı bayrağıdır.
2. Tek kullanımlık bir e-posta üretin ya da atlayın. Satıcının ödeme sayfası QR kodu için e-posta istiyorsa, yalnızca Tor üzerinden erişilen geçici bir gelen kutusu kullanın. Satıcı bunun yerine kod kullanım bağlantısı sunuyorsa, onu kullanın ve özel bir tarayıcı profiline yer imi olarak ekleyin.
3. Ödeme sayfasını Tor ya da güvenilir bir VPN üzerinden açın. Asla ev ağınızdan değil. Satıcının sitesi, herhangi bir gizlilik vaadi yürürlüğe girmeden önce, fiyat sorgulama adımında IP'nizi loglar. Tor Tarayıcı en güvenli varsayılandır; Tor JavaScript akışını bozarsa Monero ile ödediğiniz bir VPN kabul edilebilir.
4. Fiyat penceresi içinde tam Monero tutarını gönderin. Çoğu sağlayıcı, XMR oynaklığı nedeniyle beş ila on beş dakika geçerli bir fiyat gösterir. Günlük harcama cüzdanınızla aynı adres kümesini paylaşmayan bir cüzdandan gönderin — ideal olarak, orijinal varlığınızla zinciri koparmak için MoneroSwapper aracılığıyla fonladığınız bir cüzdandan.
5. Yapılandırılmış onay sayısını bekleyin. Monero yaklaşık iki dakikalık bloklarla onaylanır; on onay, dijital ürünler için yaygın eşiktir. Seçtiğiniz kanal üzerinden bir QR kodu ya da bir SM-DP+ adresi ve eşleşen ID alırsınız.
6. Profili uçak modu + yalnızca Wi-Fi ile indirin. SIM yuvasını uçak moduna alın, hiçbir hesabınızın olmadığı bir halka açık Wi-Fi'ye (kafe, otel lobisi) bağlanın ve ancak o zaman eSIM'i ekleyin. Bu, ev operatörünüzün EID-IMSI el sıkışmasını kısa süreliğine de olsa görmesini önler.
7. Yaşadığınız yerden farklı bir baz istasyonunda etkinleştirin. İlk bağlanma olayı, bir MNO'nun sahip olduğu en güçlü korelasyon sinyalidir. Uçak modunu kapatmadan önce üç sokak yürümek ucuz bir sigortadır.
8. Döndürün. Altı ay kullanmaya devam ettiğiniz gerçek anlamda anonim bir eSIM artık anonim değildir. Her planı tek bir seyahatin süresi için tek kullanımlık sayın, sonra profili silip yeniden başlayın.

Pratik Bir Örnek: İstanbul Aktarma Testi

Ayrımı somutlaştıran gerçek bir senaryoyu düşünelim. Mara adını vereceğimiz bir gizlilik araştırmacısı, Lizbon'dan Tiflis'e dört saatlik İstanbul aktarmasıyla uçuyor. SAW'a iner inmez mobil veri istiyor. Tarayıcı sekmelerinde iki satıcı seçeneği duruyor.

A seçeneği, popüler bir no-KYC satıcısı. Ödeme sayfası e-posta talep ediyor ve kartını kabul ediyor. eSIM bir Türk MNO'sunda — Turkcell ile partner bir uluslararası dolaşım hattında — sağlanıyor; aktivasyon QR'ı on saniye içinde Gmail gelen kutusuna gönderiliyor. Toplam maliyet: 5 GB için 9 €. Mara, inişten hemen önce uçağın Wi-Fi'sinde etkinleştiriyor. Pasaport kontrolüne vardığında, Türk MNO'su IMSI'sinin ilk baz istasyonu bağlanmasını SAW Terminal 1'de loglamış oluyor ve kart işlemcisi Türk telekom aracısına yapılan 9 €'luk bir ödemenin kaydını tutuyor. Adı bir gün bir gözlem listesine düşerse, iki kayıt sıradan bir biçimde birleştirilebilir.

B seçeneği, daha küçük, gerçek anlamda anonim bir satıcı. Mara, seyahat için ayırdığı küçük Bitcoin bakiyesinden MoneroSwapper aracılığıyla Monero'ya geçtikten sonra 0,058 XMR ödüyor. Lizbon havalimanı loungeundaki dizüstü bilgisayarından Tor üzerinden ödeme sayfasına erişiyor. Satıcı e-posta sormuyor; tek seferlik onion-ayna sayfasından bir SM-DP+ adresi ve 32 karakterli eşleşen ID kopyalıyor. Profili havalimanının açık Wi-Fi'sinde, telefonunda uçak modunda indiriyor. İstanbul'a indiğinde, telefonu satıcının müşteriler arasında döndürdüğü bir havuzdan gelen bir IMSI ile bir Türk MNO'suna bağlanıyor. Maliyet: 11 € eşdeğeri. Hâlâ Türk MNO'sunda baz istasyonu bağlanma kaydı var. Kart kaydı, e-posta ya da ona bağlanabilecek bir IP yok ve IMSI, satıcının sistemi içinde bile onu benzersiz biçimde tanımlamıyor. İki seçenek arasındaki gizlilik farkı, "satıcı bana adımı sormadı" ile "hiçbir taraf izi yeniden kuramaz" arasındaki farktır.

SSS

No-KYC bir eSIM gündelik seyahat gizliliği için yeterli mi?

Tehdit modeli hedefli reklamcılık, sıradan veri simsarları ya da dolaşım faturasından kaçınmak olan biri için, evet — kartla ödenen no-KYC bir eSIM genelde yeterlidir. Etiket bir sebepten var ve sürtünme azalması gerçek. Tehdit modeliniz bir devlet aktörünü, sızdırılmış veritabanlarına erişimi olan bir takipçiyi ya da bir gazetecinin kaynak koruma yükümlülüğünü içeriyorsa yeterli değildir. Aracı tehdide göre seçin ve gerek yoksa gerçek anonimliğin operasyonel maliyetini ödemeyin.

Anonim eSIM almak yerine sıradan bir VPN kullanabilir miyim?

VPN farklı bir sorunu çözer. Trafiğinizi yerel ağdan ve hedef sunucudan gizler, ama altta yatan mobil operatör hâlâ IMSI'nizi, IMEI'nizi ve hangi baz istasyonlarına bağlandığınızı bilir. Anonim bir eSIM operatör seviyesindeki meta veriyi, VPN ise ağ seviyesindeki trafiği ele alır. İkisi iyi birleşir — anonim eSIM artı Monero ile ödenmiş bir VPN sağlam bir kombinasyondur — ama hiçbiri diğerinin yerine geçmez.

Bu satın alma için Monero neden özel olarak önemli?

Çünkü kararlı bir hasmın anonimliği kırmak için en kolay yer ödeme katmanıdır. Kartlar bir işyeri izi ve bir fatura kimliği bırakır. Bitcoin, zincir analizi firmalarının KYC doğrulamalı borsa çekiminize bağlayabileceği herkese açık bir defter izi bırakır. Monero, halka imzaları, gizli adresleri ve gizli işlemleriyle eşdeğer bir iz bırakmaz; gönderen, alıcı ve tutar dışarıdan gözlemcilere görünmez. eSIM satın alımından önce başka bir varlığı XMR'a çevirmek için MoneroSwapper kullanmak, müşteri kaydı tutmayan bir swap atlama noktası ekleyerek zinciri daha da koparır.

Peki ya IMEI? Anonim bir eSIM ile bile telefonum takip edilebilir mi?

Evet — ve bu en sık atlanan noktadır. IMEI telefonunuzun donanım tanımlayıcısıdır ve hangi SIM ya da eSIM'i kullanırsanız kullanın her baz istasyonu bağlanmasında yayınlanır. IMEI'niz bir kez gerçek adınızla aldığınız bir SIM'le ilişkilendirildiyse, bu ilişki ev operatörünüzün kayıtlarında sonsuza dek vardır. Türkiye gibi BTK'nın IMEI kayıt zorunluluğu uyguladığı ülkelerde bu özellikle keskin bir noktadır: hattınıza bağlanmış IMEI ulusal veritabanında oturur. Maksimum anonimlik için, gerçek anlamda anonim eSIM, IMEI'si hiçbir zaman kimliğinize bağlanmamış bir cihaza — tipik olarak nakitle alınmış ikinci el bir telefona — girmek zorundadır. Aksi takdirde ödeme anonimliğiniz olur ama cihaz seviyesinde süreklilik kalır ki bu çoğu zaman yeniden kimliklendirmeye yeter.

Gerçek anlamda anonim eSIM'ler zorunlu SIM kaydı olan ülkelerde çalışır mı?

Bu, ülkenin kaydı IMSI seviyesinde mi yoksa cihaz seviyesinde mi uyguladığına bağlıdır. Çin, Hindistan ve Suudi Arabistan gibi yargı bölgelerinde, ev sahibi MNO hizmet verilmeden önce abone kimliğini kayıt etmekle yasal olarak yükümlüdür; içeri dolaşıma giren yabancı bir IMSI reddedilebilir ya da hızı düşürülebilir. Türkiye özelinde, yerel hatlar BTK kayıt rejimine tabi olsa da yurt dışı satıcılardan alınmış bir eSIM uluslararası dolaşım üzerinden bağlandığı için kişisel kayıt sürecinden kaçınır; ancak telefonun IMEI'si Türkiye'de uzun süreli kullanımda kayıt eşiğini tetikleyebilir. Avrupa'nın çoğunda, Latin Amerika'da ve Güneydoğu Asya'da yurt dışından gelen dolaşım IMSI'leri yerel kayda tabi değildir; saygın bir satıcıdan alınmış anonim bir eSIM beklendiği gibi çalışır. Hedef ülkenin dolaşım kayıt kanununu inişten önce değil, uçmadan önce kontrol edin.

Bir satıcının "log yok" iddiasının dürüst olup olmadığını nasıl anlarım?

Kesin olarak anlayamazsınız — gizlilik iddiaları, bir celp ya da ihlal tarafından test edilene kadar yanlışlanamaz. Dürüst iddialarla ilişkili sezgisel ölçütler şunlardır: yayımlanmış bir warrant canary, bağımsız denetimi yapılmış sıfır-log politikası, kamuya açık bir hata avı (bug bounty) programı, güçlü iletişim gizliliği yasası olan ve ana ülkenizle karşılıklı hukuki yardım anlaşması olmayan bir yargı bölgesi ve loglama gerektirecek ek hizmetleri (VPN ya da e-posta gibi) paketlemeyi reddetmek. Beşinin de yokluğu kırmızı bayraktır; üçü ya da daha fazlasının varlığı makul bir eşiktir.

Sonuç

"No-KYC eSIM" ile "gerçek anlamda anonim eSIM" arasındaki mesafe, bir pazarlama iddiası ile savunulabilir bir tehdit modeli arasındaki mesafedir. No-KYC bir ödeme sayfası belge yüklemesini atlar, bu da çoğu gezgin için anlamlı bir ilk adımdır. Gerçek anlamda anonim bir eSIM, mobil oturumunuzun ilgili loglara erişimi olan biri tarafından yeniden kurulup kurulamayacağını belirleyen dört halkayı — ödeme, teslimat, aktivasyon ve çalışma zamanı — kapatır. Bağlantınızı tam da bir ödeme izi bırakmamak için Monero ile finanse ediyorsanız, bu çalışmayı bir sonraki katmanda geri almayan bir eSIM seçmek mantıklıdır. Zinciri MoneroSwapper ile XMR'a geçerek başlatın, sonra gizlilik politikası dikkatli bir okumadan — ana sayfaya şöyle bir göz atmaktan değil — geçen bir satıcıyla harcayın.