Dwie najczęstsze rozmowy z klientami o bezpieczeństwie MiFinity. Pierwsza: „czy moje pieniądze są bezpieczne?”. Druga: „dlaczego MiFinity wymagało nowej weryfikacji 2FA?”. Odpowiedzi są związane, bo bezpieczeństwo środków klienckich w EMI to nie jest binarne pytanie tak/nie – to jest spektrum mechanizmów, które razem tworzą safeguarding. Reforma FCA CP24/20 z 25 września 2024 r. wprowadziła znaczące zmiany w tym spektrum, a firmy musiały wdrożyć przepisy interim w IV kw. 2025 r. lub I kw. 2026 r. Pisałem ten tekst po lekturze 47 stron dokumentu CP24/20, żeby przekształcić język regulacyjny w praktyczne porady dla gracza.
Safeguarding EMI: Twoje środki w MiFinity nie są depozytem
Pierwszy fakt, którego większość polskich klientów nie wie. MiFinity to Authorised Electronic Money Institution (EMI), nie bank. Środki, które wpłacasz na konto MiFinity, nie są depozytem bankowym. Nie są chronione przez Financial Services Compensation Scheme w UK ani przez polski Bankowy Fundusz Gwarancyjny. Jeśli MiFinity ogłosi upadłość, nie dostaniesz gwarancji 100 000 EUR jak z konta bankowego.
Co jest zamiast: safeguarding. Mechanizm, w którym EMI musi trzymać środki klienckie na osobnych rachunkach (segregated accounts) w bankach komercyjnych, oddzielnie od kapitału własnego firmy. Jeśli EMI bankrutuje, te osobne rachunki są zwracane klientom przed zaspokojeniem wierzycieli ogólnych. To nie jest gwarancja kompletna – może być deficyt operacyjny, opóźnienia, koszty syndyka – ale jest znacznie lepsze niż brak żadnej ochrony.
MiFinity UK Limited posiada licencję FCA jako Authorised EMI od 24 maja 2018 r. (numer rejestru 900090). MiFinity Malta Limited została zatwierdzona przez Malta Financial Services Authority na podstawie Financial Institutions Act 1994. Te dwie licencje to dwa równoległe nadzory nad twoimi środkami – w zależności od tego, pod którą jurysdykcją jest twoje konto. Klienci z UE są zwykle pod MFSA, klienci z UK i spoza UE – pod FCA.
Praktyczna konsekwencja: jeśli obawiasz się o utratę środków, ścieżka odzyskiwania zależy od jurysdykcji twojego konta. FCA i MFSA mają osobne procedury, osobne ombudsmany, osobne timeline’y. Sprawdź w panelu MiFinity, pod którą licencją jest twoje konto – informacja jest w sekcji „Legal”.
Reforma FCA CP24/20 – co zmienia od IV kw. 2025
CP24/20 to dokument konsultacyjny FCA z 25 września 2024 r., który wprowadził reformę safeguarding dla EMI. Cel: wzmocnienie ochrony środków klienckich po przypadkach upadłości EMI w 2022-2024 r., gdy klienci tracili dostęp do środków na miesiące. Reforma ma dwa etapy: interim rules wchodzące w IV kw. 2025 lub I kw. 2026 r., final rules planowane na 2026-2027 r.
Co zmienia interim rules. Pierwsze: częstsze raportowanie do FCA o stanie segregated accounts. Wcześniej raporty były kwartalne, teraz miesięczne. Drugie: rygorystyczne reguły reconciliation – codzienne sprawdzanie, czy saldo segregated accounts pokrywa zobowiązania wobec klientów. Trzecie: wymóg dywersyfikacji – środki klienckie nie mogą być koncentrowane w jednym banku komercyjnym, muszą być rozproszone między co najmniej dwa-trzy.
Czwarte i może najważniejsze dla klienta: procedury ciągłości operacyjnej. EMI musi mieć udokumentowane plany awaryjne – co się stanie z dostępem klientów do środków, jeśli firma napotka problemy operacyjne, technologiczne albo finansowe. Wcześniej te plany były ogólne; teraz muszą być szczegółowe, testowane co najmniej raz w roku, z zapisem wyników testów dostępnym dla audytora.
Praktyczna konsekwencja dla klienta: w 2026 r. środki w MiFinity są chronione lepiej niż w 2024 r., ale nie tak dobrze jak depozyt bankowy. Różnica między „bezpieczne 90 procent” a „bezpieczne 99 procent” nie wydaje się duża, dopóki nie jesteś w tych 10 procent.
2FA: SMS, aplikacja autoryzująca, klucz
Drugi poziom bezpieczeństwa – uwierzytelnienie dwuskładnikowe. MiFinity wymaga 2FA dla wszystkich operacji finansowych. Bez 2FA aplikacja pozwala tylko na przeglądanie. Trzy obsługiwane metody, każda z własnym poziomem bezpieczeństwa.
SMS na zarejestrowany numer telefonu. Najbardziej znana, najmniej bezpieczna. Podatność: SIM-swap. Atakujący przekonuje twojego operatora telefonicznego (przez phishing, łapówkę, social engineering), że potrzebuje przenieść twój numer na nową kartę SIM. Po przeniesieniu twoje SMS-y, w tym kody 2FA, idą do atakującego. CERT Polska zarejestrował w 2025 r. 658 320 zgłoszeń i 260 783 unikalnych incydentów (wzrost o 152 procent r/r) – wzrost w dużej mierze dotyczy właśnie SIM-swap i powiązanych ataków.
W 2025 r. zgłoszono 620 tys. incydentów, wobec 600 tys. rok wcześniej. Obsługujemy więcej incydentów, ponieważ sami dużo lepiej wykrywamy takie zdarzenia.
– tak Marcin Dudek, kierownik CERT Polska, opisał skalę zjawiska. Konkretnie dla SIM-swap oznacza to, że SMS-y nie są już bezpieczną metodą 2FA, jeśli twoje konto przechowuje istotne kwoty.
Aplikacja autoryzująca (Google Authenticator, Authy, Microsoft Authenticator). Generuje 6-cyfrowe kody offline na podstawie czasu i tajnego klucza zapisanego w aplikacji. Bezpieczna w 99 procentach przypadków – atakujący musiałby fizycznie zdobyć twój telefon i odblokować go. Praktyczna konfiguracja: w panelu MiFinity sekcja Security – 2FA – Add Authenticator App. System pokazuje QR kod, skanujesz go aplikacją, potwierdzasz pierwszym kodem.
Klucz sprzętowy YubiKey lub kompatybilny FIDO2. Najbezpieczniejsza metoda. Klucz to fizyczne urządzenie USB lub NFC, które generuje uwierzytelnienie na żądanie. Atakujący musiałby zdobyć fizyczny klucz, co praktycznie eliminuje zdalne ataki. Wadą jest cena (klucz kosztuje 30-60 EUR) i konieczność noszenia go ze sobą. MiFinity obsługuje YubiKey od 2023 r.
Praktyczna porada: dla salda do 1 000 EUR – SMS wystarcza. Powyżej – aplikacja autoryzująca obowiązkowo. Powyżej 5 000 EUR – YubiKey jako trzecia warstwa.
Hasło – minimum, które MiFinity wymusza
MiFinity wymaga hasła co najmniej 8 znaków, mieszanki dużych i małych liter, cyfr i przynajmniej jednego znaku specjalnego. To jest standard rynkowy z około 2018 r., dziś uważany za minimum, nie maksimum bezpieczeństwa.
Zalecana praktyka 2026 r.: hasło co najmniej 14 znaków, generowane przez menedżera haseł (1Password, Bitwarden, KeePass), unikalne dla MiFinity (nie używaj tego samego hasła w innych serwisach). Powód: jeśli inny serwis, w którym masz konto, zostanie zhakowany i baza haseł wycieknie, atakujący spróbuje twoich danych w MiFinity. Unikalne hasło chroni przed tym scenariuszem.
Co MiFinity nie wymusza, a powinieneś robić sam: zmiana hasła co 6-12 miesięcy. To nie jest formalnie wymagane, ale praktyczne – zmniejsza ryzyko, że stare hasło, które przeciekło rok temu, jest nadal aktywne.
Zarządzanie sesjami i urządzeniami
W panelu MiFinity (desktop) sekcja Security ma listę aktywnych sesji – wszystkich urządzeń, które są aktualnie zalogowane na twoje konto. Każda sesja pokazuje urządzenie (np. „iPhone Safari”), lokalizację (kraj na podstawie IP), datę i godzinę ostatniej aktywności. Jeśli widzisz nieznaną sesję, możesz wymusić wylogowanie zdalnie jednym kliknięciem.
Praktyka, którą polecam: sprawdzaj listę sesji raz w miesiącu. Jeśli widzisz urządzenia, których nie rozpoznajesz albo lokalizacje, w których nie byłeś, to alarm. Wymusz wylogowanie wszystkich sesji, zmień hasło, zmień 2FA, sprawdź czy konto e-mail powiązane z MiFinity nie zostało skompromitowane.
Phishing podszywający się pod MiFinity – jak rozpoznać
Najczęstszy wektor ataku w 2026 r. Atakujący wysyła e-mail wyglądający na oficjalny od MiFinity, z linkiem do strony „support.mifinity.fake.com” zamiast prawdziwej „support.mifinity.com”. Strona prosi o zalogowanie, ty wpisujesz dane, atakujący przejmuje konto.
Charakterystyki phishingu: pilność („twoje konto zostanie zablokowane w 24 godziny”), groźba („wykryliśmy nieautoryzowaną aktywność”), zachęta („otrzymałeś bonus 500 EUR, kliknij aby odebrać”). Wszystkie te schematy są klasyczne i znane od lat. CERT Polska zarejestrował około 250 tysięcy domen na liście ostrzeżeń w 2025 r. – duża część to właśnie phishing podszywający się pod instytucje finansowe.
Praktyczne reguły: nigdy nie klikaj linków w e-mailach od MiFinity. Wpisuj adres ręcznie albo używaj zakładki w przeglądarce. Nigdy nie wpisuj hasła ani 2FA poza oficjalną stroną MiFinity (sprawdź adres URL i certyfikat SSL – kłódka w pasku przeglądarki). Jeśli e-mail wygląda podejrzanie, zaloguj się do MiFinity bezpośrednio i sprawdź, czy w panelu są takie same komunikaty.
Drugi poziom obrony: powiadomienia push w aplikacji mobilnej MiFinity. Każda próba logowania z nowego urządzenia generuje powiadomienie. Jeśli widzisz powiadomienie, którego się nie spodziewasz, ktoś próbuje przejąć twoje konto. Natychmiast zmień hasło. Pełna instrukcja konfiguracji 2FA, generowania silnego hasła i sprawdzenia statusu licencji konta jest w osobnym artykule o licencji FCA MiFinity, bo licencja jest fundamentem, na którym wszystkie inne mechanizmy bezpieczeństwa stoją.