まず、課金履歴を調べて本当に息子かどうか確かめなきゃ
話はそれから
あと、カード登録しちゃってたら以降は1クリックで課金出来るから今日帰ってきたらスマホを出させる

というか、なんで小2の子どもがクレカで課金出来るって知ってるの？
キッズ用のフィルターとか掛けなかったの？
親としての危機管理が甘い気がする