В прошлом году столкнулся с аналогичной ситуацией: с моей карты Тинькофф без моего ведома была совершена покупка на сайте бронирования и тоже без кода подтверждения.
Получив сообщение о списании, я незамедлительно сообщил в банк, все карты заблокировали.
Сотрудник банка попросил отправить им фотографии заявления в полицию и корешка КУСП. Сделал.
По результатам проведённой банком проверки деньги мне вернули недели через 2.