Pour répondre à la question initiale, je vois trois délits dans l'ordre:
- l'un à l'encontre de la loi concernant la protection des données personnelles: il a fallu se procurer les codes
- le deuxième pour usurpation d'identité: utilisation des données volées
- le troisième relatif au vol proprement dit
Pour ce qui est de l'attitude des banques:
"En cas de perte ou de vol, le titulaire d’une carte bancaire est responsable des débits opérés avant qu’il ait fait opposition, mais seulement dans la limite de 150 euros. A condition toutefois qu’il n’ait pas commis une négligence constituant une faute lourde, auquel cas ce plafond n’intervient pas. Le fait que le voleur ou le fraudeur ait procédé à des retraits à un distributeur de billets en composant le code confidentiel ne constitue pas, à lui seul, une preuve de faute lourde. Il en effet fréquent aujourd’hui que des fraudeurs ou des voleurs s’approprient le code confidentiel sans pour autant que le titulaire n’ait commis de faute lourde, comme, par exemple, inscrire le code sur la carte, etc. (Cour de cassation, arrêt du 28 mars 2008, n°07-10.186.) "