Сразу оговорюсь, я не банковский работник, поэтому некоторый технические моменты мне не понятны, но суть объяснить смогу.
Начну с примера. Когда бронируют отель через какой-нибудь сайт (Booking. com, Expedia и т.д.) просят указать карту и срок действия карты. Для чего это нужно, только для снятия штрафа (не заехал и не отменил бронирование).
Вот снимают его как раз по номеру и сроку карты. Но тебе будет известно кто снял по СМС или выписки из банка. А теперь представь, что есть терминал (постерминал) где-нибудь в городе N. Зарегистрированный на компанию однодневку или другие подставные лица (вот здесь тех. часть я не смогу объяснить). Мы ведь знаем что честность банковских работников может зависеть и от суммы отката за участие в незаконных операциях и регистрациях терминалов. Таким образом снятые деньги переходят на некий счет и так несколько раз, пока где-нибудь в Египте какой-нибудь бедуин не снимет деньги со счета наличными. Это очень распространенная схема.
Теперь возможность снятия денег с карты через преавторизацию. Так же на терминале вводом номера и сроком действия делается не расчет, а преавторизация, "замораживании", некой суммы (большой быть не может из-за нулевого баланса), при этом получаем код авторизации. Используя это код делаем оплату и деньги опять уходят. Почему карта дает это сделать? На случай оплаты какой-нибудь услуги при нулевом балансе (в той же гостинице например), банки позволяют уводить в минус держателя карты. Естественно потом эти деньги заберут при пополнении баланса карты.
Работая в компании (гостиница) периодически отвечаю на запросы клиентов почему сняли, за что сняли с карты деньги и нередко это происходит спустя месяц после снятия. Присылают выписки из банков где прописаны операции.
Так вот это наводит на мысль, что большинство людей проверяют расходы по ежемесячной выписке. А за этот срок деньги могут "уйти" очень далеко.