결제금액 조작 시, confirm 만 호출 안 하면 되나요?

누군가 결제금액을 조작해서, toss/success 콜백으로 조작된 금액이 들어왔을 때,
toss/success 로직에서 "금액이 조작되었다" 를 검사하고 /v1/payments/confirm 을 호출하지 않은 채 그대로 리턴시키면 되는 것인지
아니면 해당 결제 트랜잭션을 즉시 취소시킬 수 있는 다른 방법이 있는지 궁금합니다.
/v1/payments/{paymentKey}/cancel 결제 취소 API를 날리는 것이 바람직한지, 아니면 confirm 하지 않은 채 10분이 흘러가게 둬서 expired시키는 게 맞는지 궁금하네요.