Там всё сложнее - сам провайдер "типа ни при чём". Это делают партнеры.
Но даже они как бы "ни при чём". Потому что сами они ничего не делают - они только апи предоставляют (которое стоит как бы фронтендом перед мегафоновским апи).
А есть еще аффилиэйты у партнеров - мелкие и не очень вебмастера-"сеошники", которые гонят трафик на партнеров. И вот тут возникает нюанс - Мегафон (или любой другой оператор) разрешает партнерам подписывать номера на подписки, если те получили согласие от абонента на подписку. Но при этом Мегафон не имеет возможности проверить, а было ли это согласие дано. Партнер (если он честный) действительно это согласие запрашивает. Но при этом не требуется его давать через СМС. Достаточно нажать кнопочку на каком-то сайте - и если ты абонент сотового оператора, то тебя возьмут и подпишут (неожиданно, да?). Без входа в личный кабинет, без ввода паролей и прочей лабудени - просто и незатейливо.
Но и это еще не всё - плохие вебмастера (которых скорее всего активно покрывают партнеры Мегафона, а, возможно, даже это приветствуют) делают запрос на согласие и вовсе без кликов на сайте (просто достаточно зайти на взломанный или подставной сайт и клик будет сделан за вас автоматически, вы ничего не почувствуете и не заметите, кроме того, что вам поступит СМС с уведомлением о подписке).
Но и это еще не всё Совсем плохие вебмастера даже не нуждаются в том, чтобы вы зашли на сайт. Им достаточно знать ваш номер (а его можно получить или перебором, или собрать по всяким доскам объявлений а-ля Avito). После чего они просто подписывают ваш номер через API партнера Мегафона. У вас при этом вообще может быть симка вытащена из телефона. Это никого волновать не будет.