クレジットカード会社が設定した厳しいセキュリティ対策をクリアしないと通販会社はクレジット決済できないんです。 まあ、具体的にはクレジットカードに関する部分は別のデータベースに格納して、会社内でもごく一部の人しかアクセスできないようになってて、そのデータベースはいつ誰がどの情報をアクセスしたのかが記録されていて、それを定期的に（ちょっとここは怪しいが）誰かがチェックして不審な行動があれば対策を取るみたいな運用になってるはずです。