#30 Nunca guardes los datos bancarios en una página externa al banco.
Que la empresa de Hong Kong reclame el dinero no tiene sentido, porque el dinero que te reembolsaron lo paga VISA, no se lo quitan a la empresa en Hong Kong, es el seguro.
A mi me pasó después de un viaje a NY, al de 2 meses o así me llegaron 2 cargos de 200$ cada uno en tiendas de deporte en Miami. Tuve que hacer lo mismo que vosotros, ir a la policía, poner una denuncia y pasarme por el banco con la denuncia puesta...
Pues a bote pronto por lo que describes hay varias infracciones acometidas por la entidad bancaria
Por una parte, de acuerdo con el RDL de servicios de pago, si el usuario niega haber autorizado una operación de pago ya ejecutada, corresponderá al proveedor de servicios de pago (banco) demostrar que la operación de pago fue autenticada. Si ellos no lo demuestran están incumpliendo sus obligaciones (entre ellas devolver el dinero sin demora). Digamos que la norma otorga a priori mayor protección al usuario y busca que prevalezca la palabra del consumidor salvo prueba fehaciente en contra. En tu caso concreto, que la empresa de Hong Kong reclame la pasta no me parece suficiente y el banco es responsable en devolver la pasta
Por otra parte, las entidades deben exigir una autenticación reforzada ante situaciones que pueden entrañar un riesgo de fraude en el pago u otros abusos si tales actos son remotos (x ejemplo un pago de España a Hong Kong sí lo sería). Si no se ha exigido el método de autenticación reforzada (véase aceptar el pago introduciendo un código, accediendo a un enlace a través del propio móvil o perfil del banco, etc). No siendo así, tmb hay un incumplimiento y responsabilidad x parte del banco en su actuación
Así que al final tienes 2 opciones para tratar de conseguir el dinero; por un lado mediante el procedimiento alternativo de resolución de conflictos que tendrá habilitado el servicio al cliente de tu entidad bancaria o, por otro, pillando abogado y demanda
El banco está obligado a no cobrarte ese dinero, ya que la tarjeta lleva un seguro que cubre esas cosas. Ve al banco, ponles una hoja de reclamación por este hecho y verás qué rápido se ponen las pilas 
Ojo cuidado que estos días me están llegando SMS de fishing tomando el nombre de BBVA, el link es evidente que es falso, pero ojo con vuestros familiares mayores que a ellos les cuesta más darse cuenta...
