Jak kontrolovat stojánky s QR kódy v restauraci: přelepení nálepkami, neznámé adresy a záměna čísel stolů

U QR stojánků s menu v restauraci kontrolujte zároveň vzhled, adresu i přiřazené číslo stolu. Stojánek může vypadat neporušeně, a přesto být na špatném místě; otevřená stránka navíc nemusí vést na schválenou adresu provozovny. Při zjištění problému přestaňte stojánek používat a zajistěte, aby obsluha nabídla menu osobně. Riziko ověřování nepřenášejte na hosty.

Bezpečnostní článek, který INCIBE zveřejnil dne 2022-6-30, doporučuje před otevřením odkazu z QR kódu zkontrolovat cílovou adresu a dávat pozor na podezřelé adresy a stahování. Soukromé údaje nezadávejte na stránkách, které nebyly ověřeny. Tento článek rozebírá dříve vydanou příručku, nejde o zprávu o nové události.

Nejprve uložte ověřenou předlohu pro porovnání

Pověřený pracovník uloží vzor aktuálních stojánků, čísla stolů a očekávané adresy a zaznamená, odkud pocházejí nově vytištěné a náhradní kusy. Předloha neobsahuje přihlašovací údaje do administrace, klíče ani jiné tajné informace. Personál si může ověřit odkaz na službu pro hosty, aniž by potřeboval přístupové údaje správce. Obrázek z chatu, jehož původ není známý, nepoužívejte přímo jako podklad k dotisku.

Tři druhy odchylek, z nichž každý vyžaduje jiné ověření

• Další překryv nebo neznámá nálepka: přestaňte stojánek používat, zaznamenejte jeho umístění a vzhled a předejte jej odpovědné osobě, aby uchovala potřebné informace. Nálepku hned nestrhávejte a stojánek nevracejte na místo.
• Adresa zobrazená v náhledu se liší od předlohy: odkaz dále neotevírejte ani nic nestahujte. Ověření si vyžádejte přes známý oficiální kanál poskytovatele služby; nepoužívejte kontaktní údaje uvedené na podezřelé stránce.
• Adresa je správná, ale číslo stolu nesouhlasí: ověřte provozovnu, číslo stolu a umístění stojánku. Zkontrolujte, zda se stojánky nepřemístily při úklidu nebo spojování stolů. To, že se menu zobrazí, není důvod nechat hosty pokračovat v objednávání.

Každý den před usazením hostů projděte při kontrole předem stanovenou trasu. Pomocí zařízení, které má provozovna pod kontrolou, nejprve zkontrolujte náhled cílové adresy QR kódu. I u běžného odkazu ověřte název provozovny, menu a číslo stolu. Stejným způsobem spravujte i náhradní stojánky, aby se po výměně do provozu omylem nevrátily staré kusy.

HTTPS samo o sobě nepotvrzuje, že stránka patří vaší restauraci

Šifrované připojení chrání přenos dat, ale samo o sobě nepotvrzuje totožnost ani pravost obsahu. Personál by měl znát doménu schválenou provozovnou a všímat si změn v jejím zápisu. U zkrácených odkazů nebo vícenásobného přesměrování má odpovědná osoba ověřit, zda celý řetězec odpovídá nastavení. Kontrolu nelze ukončit jen proto, že se zobrazuje ikona zámku.

Pokud vstup do menu náhle vyžaduje instalaci neznámé aplikace, zadání ověřovacího kódu nesouvisejícího se zobrazením menu nebo citlivých údajů, přestaňte tento odkaz používat a ověřte jej. Nežádejte kolegy, aby kvůli dokazování rizika opakovaně zadávali své údaje na osobních telefonech. Mezitím lze nabídnout tištěné menu nebo obsloužit hosty ústně.

Pokud už host s odkazem pracoval, oddělte obsluhu od prověřování

Nejprve hosta požádejte, aby už nic dalšího nezadával ani nestahoval, a zaznamenejte pouze potřebné informace, které se rozhodne sdělit. Personál nepřebírá správu bankovního účtu hosta, nevyžaduje SMS ověřovací kódy a nepřeposílá snímky celé obrazovky telefonu do skupinových chatů. Pokud mohly být dotčeny platební údaje, požádejte hosta, aby kontaktoval poskytovatele služby přes oficiální kanál, který si vyhledá sám, a obrátil se na odborníky na bezpečnost. Neslibujte, že se podařilo zabránit škodě.

To, že v systému menu nelze dohledat platbu, nedokazuje, že k externí transakci nedošlo. Zvlášť ověřte, zda host původně chtěl zobrazit menu, objednat si, nebo zaplatit. Otevření odkazu naskenováním QR kódu, odeslání objednávky, její přijetí restaurací a přípravu v kuchyni ověřujte samostatně, aby pochybnosti o bezpečnosti nevedly navíc k duplicitní objednávce.

Před obnovením provozu zanechte záznam, podle kterého lze předat směnu

• Zjištěný problém: zaznamenejte čas, umístění stojánku, změny jeho vzhledu a adresu zobrazenou v náhledu. Nezapisujte zbytečné údaje o hostech.
• Rozsah kontroly: uveďte stojánky ze stejné série, náhradní kusy a okolní prostor. Rozlište překrytí, chybné umístění a potvrzené změny nastavení.
• Dočasná opatření: uveďte, které odkazy zůstávají pozastavené, kdo nabídne menu osobně a kdo bude pokračovat v ověřování.
• Podmínky obnovení: odpovědná osoba potvrdí příčinu a použije stojánky z kontrolovaného zdroje. Poté znovu zkontroluje jejich vzhled, doménu, provozovnu a čísla stolů a sdělí personálu na aktuální směně, co lze znovu používat.

Pravidelné kontroly nemohou vyloučit všechny útoky a nejsou potvrzením, že skenování QR kódů je zcela bez rizika. Noví zaměstnanci musí vědět, kde najdou ověřenou předlohu, kdo schvaluje výměny a při kterých odchylkách nesmějí sami obnovit používání stojánků. Při předání směny je třeba zachovat přesně vymezený rozsah pozastaveného používání; nestačí říct, že se odkaz už otevírá.