La plupart ? toutes à ma connaissance, pour autant celles que j'ai exploré.
Oui, c'est ce que j'entendais par "code secret". Sur une carte de paiement, un numéro de carte + date de validité + numéro au dos (3 chiffres) = paiement possible.
Certaines banques, comme la mienne, utilisent une identification supplémentaire (ex : 3DSecure qui envoie un code de vérification par SMS au téléphone du possesseur de carte qui doit être entré), mais tous les systèmes de paiement n'intègrent pas cela, et ces screens, pour les vrais (certains sont des fakes évidents, mais les autres...) peuvent être devinés avec un peu de temps pour ne pas alerter les banques (tant qu'on espace quelques essais ratés avec des paiements valides du possesseur de la carte j'imagine) et ainsi effectuer des paiements en ligne.