Tem razão, @renanrider, este risco existe. Entendo que é similar ao mundo físico, onde, por exemplo, um estabelecimento possui um QR Code impresso no balcão. Alguém pode colar um outro QR Code por cima dele. E com isso redirecionar os recebimentos para outro lugar diferente do dono do estabelecimento comercial.

Entendo que a confirmação dos dados no aplicativo do banco ajuda nesta mitigação.

Mas enfim, você visualiza alguma ideia para prevenir isto no contexto do site?