Да скорее всего украли с какого-то из сайтов, на которых пользовались картой до этого. Сейчас уже не нужно фото с двух сторон получать, хватит рукастых кулхацкеров и человека, который найдет, куда эту базу продать

Где то перехватили, как вариант могла вбить их на мошенническим ресурсе.
У тинькоф есть отличная опция - запрет покупок в Интернет, её стоит выключить.