高木先生案件かもしれません。
ネットバンクでは基本的にトークン（ワンタイムパスワード生成機）を使うようにしています。トークンとは一定時間毎に暗号化による6桁のパスワードを表示する親指くらいの大きさのデバイスです。
ジャパンネット銀行ですと、ログイン時はパスワード（自分で決めた英数字8文字以上）でログイン可、振込みや限度額変更など重要な処理の場合にトークンが表示するワンタイムパスワードを入力という合理的な設計になっています。
一方、三井住友銀行（SMBCダイレクト）はログイン時はパスワード（自分で決めた英数字8文字以上）とトークンのワンタイムパスワードの両方が必要、そして、振込みや限度額変更など重要な処理の場合にはもうトークンは関係なくて、昔ながらの暗証カードが必要、という変てこな仕様になっていました。
これですと外出先から振込みがあったか確認したいなんて場合にトークンを持ち歩かなければなりません（口座が複数あると口座ごとのトークンが必要）、また、セキュリティ上の脆弱性である暗証カードが結局必要なので、何のためにトークン使ってるのかわかりません。しかも月100円くらい利用料を取られました。
しかし、最近、三井住友から、新しいパスワードカードが使えるようになったということで連絡が来ました。ログインはパスワードのみで可能、暗証カードは不要ということで、ジャパンネット型の仕様に変更になりました。しかも利用料無料化ということで願ったりかなったりというこで切り替えを申し込みました。
で、新パスワード生成器（従来のトークンよりちょっとかさばります）の登録をしてみました（登録先の電話にシステムが電話かけて認証番号入れさせるステップが入っていて、登録は会社でやっていたのに、登録電話は自宅の電話になっていたのでちょっと参りましたが）。
さて、重要なポイントはここからです。登録の過程で、第一暗証（ネットバンクへのログインパスワード）の変更を求められたのですが、今までは英数字8文字以上だったのが何と数字4桁強制です。これを理由に切り替えをためらっています。
数字固定桁パスワードというと最近JALのマイレージサイトの事故に結びついた脆弱性として有名です。
一部報道記事でもわかってないものがあるみたいなので、ここで、一応説明しておくと、数字固定桁パスワードはリバースブルートフォースアタックに対してきわめて脆弱です。通常のブルートフォースアタックは特定のIDに対して多数のパスワードをトライする攻撃方法ですが、リバースブルートフォースアタックはパスワードの方を固定して、ユーザーID（会員番号、口座番号等）の方を変えていく攻撃方法です。狙った特定のアカウントに不正アクセスするのではなく、誰でもいいのでとにかく不正アクセスできればよい場合に有効です。数字4桁のパスワードでユーザー数10万人であれば、平均して10人は不正アクセスできることになってしまいます。
パスワードをx回間違えるとアカウントを無効にするとか、パスワードの変更をお願いするなんて対策はリバースブルートフォースアタックには無力です。特定IPからのログインが連続したらブロックするという対応は取れますが。
三井住友銀行の場合は、ログイン時に第一暗証に加えてパスワードカードも必要とする設定にすることはできます（ただそうすると結局（かさばる）パスワードカードを持ち歩かなければいけないという最初の問題が生じます）。
また、ネットバンクの第一暗証はキャッシュカードの暗証と同じにする必要はないのですが、めんどうで結果的に同じにする人は出てくると思いますので、これまた、不正アクセスの種となりそうです。
あんまりこういうことは言いたくないですがこの設計をした人の顔が見たいです。