Javascript 恶意网站如何激活移动支付？

当用户连接到移动网络并在具有自动移动支付功能的手机上浏览狡猾（恶意）的网站/应用程序时，用户通常可以捕获不需要的订阅。这种情况既没有得到同意也没有意识到，用户只有在收到短信后才被告知新激活的订阅（和付款）

通过点击劫持（即带有不可见覆盖层的iFrame）可以隐藏需要用户同意的恶意表单，但支付本身是如何发生的？哪种技术使这成为可能？JS或其他web技术如何在未经用户许可的情况下请求自动移动支付或订阅激活