HMAC計算ツールの入力内容の改ざん…ということですが。
・正当なHMAC値を計算できなくしてWebサイト側のHMAC値と不整合にし、送金できなくする。
・計算ツールに入力させる口座番号と送金額を改ざんしてHMAC値を生成し、Webサイト側で整合させて不正送金させる。
この2つのどちらの考え方が正しいでしょうか？

本問中で不正送金対策について論じているので、
>・計算ツールに入力させる口座番号と送金額を改ざんしてHMAC値を生成し、
>Webサイト側で整合させて不正送金させる。
こちらが正しいです。

問題をもっとよく読まなくてはですね…。
ありがとうございました。