> Начать с того, что ссылка есть, а обратной связи нет (был ли
> платеж, нет, его статус). Непонятно, что с подтверждением, кто его организует
> - браузер или банк или кто, и кто хранит логи этих
> подтверждений. Продолжим тем, что какой-то хитрый javascript научится этот URL отыгрывать
> без подтверждений, и с карты по дефолту у людей списывать по
> 1 доллару (или даже по 1 центу) в день, чтобы ущерб
> был мелкий, но автору скрипта набегало за счет массовости - с
> этим как, кто ответит?

вы не поняли, это не перевод, это стандарт записи адреса перевода, суммы и комментария к переводу
чтоб не писать буквами "вот у меня есть в банке с БИК 123 номер счёта 456, введите эти цифры руками и сумму 789 тоже пальцами нажимайте" а просто сделать ссылку payto://bic/...?amount=789 и написать "для перевода можно нажать сюда"
вы на ссылки mailto: вообще?