Такое вполне возможно, и сомневаюсь, что вам вернут деньги.
Ранее в мерче amazon на домене fr или com была такая дыра, сейчас по-моему пофиксили
Однако есть множество других мерчей , которые пустят спокойненько без 3ds и без cvv оплату.
Плюс бывают разные баги, например в Paypal ранее amex залезал после ввода трех раз ошибочного cvv и конфирмилась карта , после чего люди исполняли подобно вашему случаю .
Возврат .. наверное от политики банка зависит, но вам во всяком случае нужно будет забыть ту историю , в которой ваш родственник отправил лицевую сторону мошенникам, сомневаюсь что банк вернет деньги если узнает об этом) что касается имени - ру, еу пластик без авс, данные адреса и имени холдера не сверяются, поэтому им было бы достаточно срока действия и номера карты . а вообще удачи вам:)