口座の紐づけなんて一大イベントをオフライン無しで繋いでＯＫしてしまうのが間違ってる。 最低限郵送して本人確認して、口座の持ち主が同意していることを確認すべきでしょう。

二段階認証すればいいだけじゃ…