No te sorprendas, con cualquier ataque de los que ha realizado lolzsec por ejemplo, donde colgaban la lista de usuarios y mails junto con sus contraseñas de diversas redes y servicios, incluso yo mismo podría haber estafado a gente que tenía cuenta en Applestore sin ningún problema. Tenía acceso a sus mails, tenía acceso a sus contraseñas, tenía acceso a sus facturas, tenía acceso a sus cuentas bancarias, bueno, ya sabes lo que se puede tener acceso si te joden el mail.
Con esto quiero decir que, sin tu saberlo, puede que tus datos estén corriendo por internet y, sin tu saberlo, puede que haya cogido tus datos y te hayan pegado un palo. Ya no solo si te copian la tarjeta, basta con que te roben cualquier mail que tengas información personal. Ni siquiera necesitas un troyano, o un virus, o un gusano en el Pc de turno...
Yo empezaría revisando todos tus correos, todas tus contraseñas las iría cambiando, y de paso miraría de cancelar algunas tarjetas... lo típico en estos casos...
P.S. Yo no lo he hecho, (salvo las contraseñas de mis mails y mis cuentas) por que la Apple Store no me acepta mi tarjeta de débito... por que es una de esas virtuales... antes si me la aceptaba... pero como no tengo "tarjeta asociada", no me pueden pegar ningún palo..