カード会社が第一に悪いって。
直前に認証を300回とか1000回とかミスってるのに、それを疑わず本人だとして正常に買い物させてるのが。