Скорее всего, карта была привязана к аккаунту, и деньги по клику списывались автоматически прямо в карман мейла, без посредников. А потенциальную жертву найти достаточно просто, по всяким приблудам на том же портале игр. И подсунуть ей под видом бонуса фишинговую страницу.

Я и сам когда-то страдал фигнёй на том портале. Возможно кто-то вспомнит те года, когда были специальные прокси, дающие безлимитные бонусы, меняющие визуальное оформление в играх, и тому подобное.