Há diversos controles para isso:
1) A notificação requer mTLS, então só o servidor da Efí pode gerar um webhook com CN gn-webhook-pix e a CA da Efí
2) Você é informado da chave Pix, então mesmo outro cliente da Efí não pode disparar notificações que você não consiga distinguir
3) Você pode também filtrar pelo IP de origem da notificação
4) E se você for tão paranóico quanto a gente, pode fazer GET de /cob com o txid e ver se tem o mesmo objeto pix lá.