PIN не имеет значение при оплате в интернете
ну это да, пин можно и не узнавать, достаточно номера карты и CVV/CVV2, что еще более упрощает получение нужных данных. Кассиру нужно всего-то возле терминала установить срытую камеру и перед оплатой повертеть картой перед ней, что покупатель и не заметит даже. Уже в новостях не раз проскакивали такие случаи, как кассиры были пойманы за таким делом.
более-менее адекватные люди, сразу подключают на телефон смс-аутентификацию и при каждой оплате получают смс-код, без которого оплата просто не пройдет
У большинства как раз нет такой функции. Подключают те, кто более-менее в этом разбирается, в основном более молодые. Люди по старше, пенсионеры, возможно даже и не слышали о такой функции. Большинству карту вручили на работе для получения зарплаты (пенсионерам для получения пенсии) с минимальным набором функций, вот так человек и пользуется не вникая в тонкости.
Еще за частую смс-аутентификация бывает платной услугой, и многие отказываются от нее именно из-за этого.
Так же есть карты, которые для подтверждения операции не требуют даже ввода пин-кода, нужно просто расписаться в чеке (вот где раздолье для мошенников, достаточно просто украсть карту), причем у меня самого от одного банка была такая карта. Такие карты обычно акционерные, с бесплатным обслуживанием. Но тем не менее люди берут их и пользуются, подвергая свои средства опасности.