Есть, пожалуй, только один "пунктик", за который теоретически можно зацепиться. В договоре держателя карты с банком-эмитентом обычно прописано, что передача приватных данных карты (pan, pin, cvv2) означает передачу прав на пользование деньгами. Т.е. если удастся доказать, что держатель сам передал эти данные кому-то там, то с него можно попробовать что-то взыскать. Но как такое доказать? Действительно, "кто-то наверное подсмотрел цифры", и всё.