Покупки в интернете.

Мой друг купил игровую вещь в интернете (задонатил в игру), при первой покупке, он писал свои данные от карты, и подтверждал покупку через код (SMS), недавно , он опять купил вещь (задонатил) на том же сайте, и у него не попросили данные карты, а также даже не запросили КОД. Деньги сами списались. Что делать? Как сделать так чтобы у него списывались деньги, только при подтверждения кодом? (Все покупки совершались с карты SberKids),