Modesta explicación:
La mayoría de los bancos indican que las tarjetas no están activadas cuando las envían a casa en sobres, pero sí lo están para ciertas compras online de importes modestos, a veces hasta 99 euros por compra.
Cualquier compra presencial, por mínima que sea, la primera vez no va a dejar realizarla, porque siempre va a pedir el pin asociado a la misma. De esa forma, la tarjeta quedará activada ; probablemente con la autenticación reforzada de sms al móvil además del pin.
Por otro lado, si compran por internet con tu tarjeta o mejor dicho con el uso de datos de tú tarjeta (como numeración de 16 dígitos y/o fecha de caducidad) sí lo van a poder hacer en ciertas tiendas por importes pequeños varias veces por mucho que no se active la tarjeta como de manera presencial.
A fecha de hoy, dados los sistemas que utilizan las tarjetas a nivel mundial, cualquiera puede dar con tu número de tarjeta aleatoramiente, con un cálculo matemático, por el simple hecho de que todas las numeraciones plamadas en las tarjetas ya sean black, gold, platino, signaturey crédito o débito las marca el algoritmo de luhn.
Con una numeración de cualquier tarjeta y su correspondiente fecha de caducidad, aunque esta concretamente esté de baja se puede seguir la continuación aplicando tal algoritmo y sacar una que funcione.
Asimismo hay cientos de webs que por fuerza fruta, prueba error, probando del 0 al 999, te dan el cvv correcto. Con lo cual el estafador, en menos de 20 minutos puede tener un número de tarjeta válido que casualmente es él tuyo sin haberte hackeado nada ni abierto sobre alguno de tu buzó pudiéndose encontrar a más de 20.000 km de ti.
Lo más seguro siempre será el pago en efectivo; lo que pasa que al estado no le interesa que sea así, utilizando la excusa del blanqueo de capitales te convence para que le dejes marcadas todas las operaciones de compra con una tarjeta vinculada a ti.