あまり不正確な話が流布されるのは良くないので、軽く指摘をしておきたい。
https://nlab.itmedia.co.jp/nl/articles/2009/14/news064.html
きちんと本人確認ができないまま、メールアドレスだけでお金を使える口座が開設されてしまったというところが、大きな問題点の1つです。
ドコモ口座の開設は確かにそうだけど、それだけだとお金を使える口座が開設されたわけではない
ここで問題なのは、この種の口座決済における銀行のセキュリティは「RSA方式」と言って、基本的な仕組みは1977年につくられたものなのです。
この記事の最大のツッコミどころとして散々言われていることだが、単純に誤り（RSA方式はぜんぜん違う）
40年以上前につくられたものですから、穴だらけなのです。銀行の口座番号と暗証番号、この2つが登録しているものと一致すれば、自由に自分のデータを書き換えられる。つまり預金を入金したり、出金したりすることができるという仕組みです。
作られた時期の問題はあまり関係ない。あと、通常はキャッシュカードと暗証番号で確認をする。ここを問題にするのであれば、今回のスキーム特有の問題としなければならない。
自由に自分のデータを書き換えられる、というのもあまりに雑ですね（これ出来るならみんな自分の預金を1兆円とかにするよね）
穴だらけなものですから、一定期間しか使えない暗証番号である「ワンタイムパスワード」などで補っています。しかし、それも100%の安全を確保できているわけではないのです。例えば、暗証番号は4桁ですが、番号を忘れてしまった場合に、それを解読するためのソフトウェアを我々が入手することもできるのです。
ここが一番ひどいと思う。まず、この話の持っていき方だと、ワンタイムパスワードも完璧ではない、なぜなら暗証番号4桁は解読できるからだ、となり、わけがわかりません（ワンタイムパスワードの弱点を問題視するならともかく、いきなり暗証番号の話になっている）。
で、「番号を忘れてしまった場合に、それを解読するためのソフトウェアを我々が入手することもできるのです。」ってなんだ？聞いたことないぞ（40年前ならカードの磁気に暗証番号入ってたけど、ソフトウェアって言っているからその話でもないよね）。解読するためのソフトウェアの想像がつかない。
1万回試せば暗証番号を発見できるという部分を利用して、それを解読するためのソフトウェアがあります。総当たり攻撃とも言うのですが、
これ解読じゃないよね。あと、一般的な話として「1万回試す」ことは不可能です。ロックされるからな。パスワードスプレーのことを言っているのであれば、「番号を忘れてしまった場合に、それを解読するためのソフトウェア」ではないよね。銀行の4桁暗証番号を短時間に無限回試行できる脆弱性は流石にみたことないです。
