Yo diria que lo segundo.

De hecho, recuerdo un caso asi.. aunque no sabría decir que página era. Creo recordar que mandabas un mensaje, si y por ejemplo tu móvil era 612345789, el codigo era 5798 (las cuatro ultimas cifras).

Un saludo

Necesitarías muchos códigos para tratar de observar un patron y compararlo con los algoritmos ya existentes, pero es complicado...

ola
generalmente se hace usando random y guardando el valoren  una variable...
osea que si queres hacer eso tendras que encontrar algun bug en la pagina ya sea sqli,lfi ,xss para sacarle la cookie al admin etc
aunque  si es asi creo que esto tendria que estar en nivel web de bugs y exploits

eso si queres entrar por bugs a nivel web tambien existe la opcion de entrar por el servidor directamente escaneando puertos mirando los servicios que corre y buscar exploits para esos servicios...

un saludo!