Несёт ли программист отвественность за противозаконное применение своего кода?
Вам дали доступ к сайту, у вас была возможность посмотреть, что там "вокруг". Мошенники так редко поступают, как-то это глупо было бы.
Напишите заказчику, пусть удалит ваш e-mail. И дело с концом. Вы формально перестанете иметь к этому отношение.
Вообще магазин получает данные карт в не зашифрованном виде. Это нормально. Как и где хранит - его дело, лишь бы не утекли. Если вы считаете, что это утечка, а не внутренняя кухня, то проинформируйте об этом как можно больше заинтересованных людей. Это потом, если что, пойдёт как плюс во время защиты.
А так в нашей стране такой бред, что гарантий никто не даст. За лайки сажают. Ну, сегодня уже не сажают, но завтра новый бред придумают. Короче, даже если на вас будет дело, думаю, у вас все шансы на выигрыш. Но дела не будет, имхо.
Однозначно ответить на этот вопрос нельзя.
Если этот человек - мошенник, если его поймают, он вполне может сдать вас, как соучастника, даже если вы ничего не знали вообще. Полиции куда интереснее "разоблачить преступную группу", так что там к этому подталкивают, обычно.  Так что то, что формально, вы не участвовали в преступном сговоре, не значит, что вам это не "пришьют".
Если он мошенник, выяснить это, не подставляя себя, непросто. Просто спросить прям текстом - не вариант. 
Вот и думайте.
Если он не мошенник, то это всё равно так не делается, конечно. А понять, мошенничество это, или просто ужасная тупость - тоже просто так нельзя.