Не всегда. Есть алгоритмы оплаты, которые позволяют не вводить CVV, но это совсем уже древность.
А мне интересно положение дел на другой стороне транзкции, вот у меня, например, можно по карте что-то купить. Мне приходит из банка подтверждение, что такой-то оплатил картой, более того, на след. день на расчетный счет падает эта сумма с вычетом комиссии. И тут выясняется, что это был нигадяй в маске и полосатой робе. Дальше что?