Quando um cartão é usado na Internet de forma indevida e o dono contesta a compra (também chamado de chargeback), o prejuízo é todo da loja.
Isso vale pra toda transação que não passa por um processo de autenticação específico (explicado num post aqui). Como nem toda loja online suporta este processo de autenticação, acabam adotando outras medidas pra se resguardar.
No fim do dia, as locadoras usam o pagamento antecipado como um caução pra garantir a tarifa. Na hora de buscar o carro, o cartão físico é exigido pra comprovar que você é efetivamente o dono do cartão e assim diminuir a chance de ser uma fraude. Essa lógica é semelhante a adotada pelas empresas que vendem ingresso pela Internet.