Z bankomatu vybíráš? Tam se dá karta zkopírovat.
Při placení ji dáváš z ruky? Údaje se dají opsat. Nebo to nemusí být jenom při placení, stačí když si ji na chvilku někdo "půjčí".
Na počítači můžeš mít třeba keylogger. Kontroluješ si platnost certifikátu na stránkách, kde platíš? Neplatil jsi někde, kde je jenom HTTP?