Списывают не с карты, а картсчета. Там всё завязано на ИНН. Любой ваш счёт идентифицируют по ИНН. Списание средств - обычный перевод денег с вашего счета на счёт МФО.
МФО для банка - клиент юр.лицо. Так что, МФО создаёт запрос об автоматическом списании в счёт оплаты за товар, услугу. Присылают счет, а потом и верифицирует картой(данными карты: номер, дата, cvv2/cvc2). Карта нужна, чтобы банк-эмитент подтвердил транзакцию. Всё, счёт в минусе.
Почти все счета МФО в Привате. А вообще, подобное ждёт всех не зависимо от типа карты или банка.
Кстати, старайтесь при оплате не давать карту кассиру. Телефон лежащий возле терминала с погашены экраном и карта в руках кассира, может легко сделать снимки карты с двух сторон (Номер, дата действия, фамилия имя, cvv2).
Подозреваю, что МФО скупают подобные фото у кассиров. Или звонилки подрабатывают кассирами.