Έλεγχος επιτραπέζιων πινακίδων με QR σε εστιατόρια: αυτοκόλλητα, άγνωστοι σύνδεσμοι και λάθος αριθμοί τραπεζιών

Στις επιτραπέζιες πινακίδες με QR ενός εστιατορίου πρέπει να ελέγχονται ταυτόχρονα η εμφάνιση, ο σύνδεσμος και ο αριθμός του αντίστοιχου τραπεζιού. Ακόμη κι αν η πινακίδα φαίνεται άθικτη, μπορεί να βρίσκεται σε λάθος θέση, ενώ μια σελίδα που ανοίγει μπορεί να μην οδηγεί στον προορισμό που έχει εγκρίνει το κατάστημα. Αν εντοπιστεί κάτι ασυνήθιστο, διακόψτε πρώτα τη χρήση και ζητήστε από το προσωπικό να συνεχίσει την εξυπηρέτηση με έντυπο μενού ή προφορικά, χωρίς να αναθέτετε στους πελάτες τον έλεγχο του προβλήματος.

Το άρθρο ασφαλείας που δημοσίευσε το INCIBE στις 2022-6-30 υπενθυμίζει να ελέγχετε τη διεύθυνση προορισμού πριν ανοίξετε έναν σύνδεσμο QR, να είστε επιφυλακτικοί με ύποπτες διευθύνσεις και λήψεις και να μη δίνετε προσωπικά δεδομένα σε σελίδες που δεν έχετε επαληθεύσει. Το παρόν άρθρο σχολιάζει έναν ήδη υπάρχοντα οδηγό και δεν αποτελεί ενημέρωση για νέο περιστατικό.

Αποθηκεύστε πρώτα ένα εγκεκριμένο πρότυπο για σύγκριση

Ο υπεύθυνος αποθηκεύει την τρέχουσα μορφή των πινακίδων, τους αριθμούς τραπεζιών και τις αναμενόμενες διευθύνσεις, και καταγράφει από πού προέρχονται οι νέες εκτυπώσεις και οι αντικαταστάσεις. Το πρότυπο δεν περιλαμβάνει στοιχεία σύνδεσης διαχείρισης, κλειδιά ή άλλα μυστικά. Έτσι, το προσωπικό μπορεί να ελέγχει το σημείο πρόσβασης στην υπηρεσία χωρίς να χρειάζεται διαπιστευτήρια διαχείρισης. Μια εικόνα από συνομιλία άγνωστης προέλευσης δεν πρέπει να χρησιμοποιείται απευθείας ως βάση για επανεκτύπωση.

Τρεις διαφορετικές ενδείξεις απαιτούν διαφορετικούς ελέγχους

• Υπάρχει πρόσθετη επικάλυψη ή άγνωστο αυτοκόλλητο: αποσύρετε πρώτα την επιτραπέζια πινακίδα από τη χρήση, καταγράψτε τη θέση και την εμφάνισή της και παραδώστε την στον υπεύθυνο, ώστε να διατηρηθούν τα απαραίτητα στοιχεία. Μη βιαστείτε να αφαιρέσετε την επικάλυψη ή το αυτοκόλλητο και να επαναφέρετε την πινακίδα σε χρήση.
• Η διεύθυνση που εμφανίζεται στην προεπισκόπηση διαφέρει από το εγκεκριμένο πρότυπο: μην συνεχίσετε την περιήγηση και μην κάνετε λήψη. Επικοινωνήστε με τον πάροχο για επαλήθευση μέσω επίσημου καναλιού που γνωρίζετε ήδη· μην χρησιμοποιείτε τα στοιχεία επικοινωνίας που εμφανίζονται στην ύποπτη σελίδα.
• Η διεύθυνση είναι σωστή, αλλά ο αριθμός τραπεζιού δεν ταιριάζει: ελέγξτε το κατάστημα, τον αριθμό και τη θέση της πινακίδας, καθώς και αν μετακινήθηκε κατά τον καθαρισμό ή μετά από συνένωση τραπεζιών. Μην αφήσετε τους πελάτες να συνεχίσουν την παραγγελία μόνο και μόνο επειδή ανοίγει το μενού.

Πριν καθίσουν οι πελάτες, πραγματοποιείτε καθημερινά τον έλεγχο ακολουθώντας μια σταθερή διαδρομή. Με συσκευή που ελέγχεται από το κατάστημα, δείτε πρώτα τη διεύθυνση προορισμού στην προεπισκόπηση του QR. Ακόμη κι αν ανοίξει η αναμενόμενη σελίδα, ελέγξτε επίσης την επωνυμία του καταστήματος, το μενού και τον αριθμό τραπεζιού. Διαχειριστείτε τα εφεδρικά τεμάχια με τον ίδιο τρόπο, ώστε παλιές πινακίδες να μη χρησιμοποιηθούν ξανά κατά λάθος μετά την αντικατάστασή τους.

Το HTTPS από μόνο του δεν αποδεικνύει ότι η σελίδα ανήκει στο κατάστημα

Η κρυπτογραφημένη σύνδεση προστατεύει τη μετάδοση των δεδομένων, αλλά δεν αποδεικνύει από μόνη της ότι η ταυτότητα και το περιεχόμενο είναι γνήσια. Το προσωπικό πρέπει να γνωρίζει τους εγκεκριμένους τομείς του καταστήματος και να προσέχει τυχόν αλλαγές στην ορθογραφία. Ο υπεύθυνος πρέπει να επιβεβαιώνει ότι η πλήρης διαδρομή ενός συντομευμένου συνδέσμου ή μιας ακολουθίας ανακατευθύνσεων συμφωνεί με τις ρυθμίσεις. Το εικονίδιο του λουκέτου δεν αρκεί για να ολοκληρωθεί ο έλεγχος.

Αν η σελίδα του μενού ζητήσει ξαφνικά την εγκατάσταση άγνωστης εφαρμογής, κωδικό επαλήθευσης που δεν σχετίζεται με την προβολή του μενού ή ευαίσθητα στοιχεία, διακόψτε τη χρήση αυτού του σημείου πρόσβασης και διερευνήστε το. Μην ζητάτε από συναδέλφους να συμπληρώνουν επανειλημμένα στοιχεία από προσωπικά κινητά για να αποδείξουν ότι υπάρχει κίνδυνος. Μπορείτε στο μεταξύ να συνεχίσετε την εξυπηρέτηση με έντυπο μενού ή προφορικά.

Αν ο πελάτης έχει ήδη ενεργήσει, διαχωρίστε την εξυπηρέτηση από τη διερεύνηση

Ζητήστε πρώτα από τον πελάτη να μη συνεχίσει να εισάγει στοιχεία ή να κάνει λήψεις και καταγράψτε μόνο τις απαραίτητες πληροφορίες που παρέχει οικειοθελώς. Το προσωπικό δεν αναλαμβάνει τον έλεγχο τραπεζικών λογαριασμών, δεν ζητά κωδικούς επαλήθευσης από μηνύματα SMS και δεν προωθεί εικόνες ολόκληρης της οθόνης του κινητού σε ομαδικές συνομιλίες. Αν εμπλέκονται στοιχεία πληρωμής, ζητήστε από τον πελάτη να επικοινωνήσει με τον πάροχο μέσω επίσημων καναλιών που θα αναζητήσει ο ίδιος και να ζητήσει εξειδικευμένη βοήθεια για την ασφάλεια. Μην εγγυηθείτε ότι έχουν ήδη σταματήσει οι περαιτέρω απώλειες.

Το ότι το σύστημα μενού δεν εμφανίζει μια πληρωμή δεν αποδεικνύει ότι δεν έγινε συναλλαγή μέσω εξωτερικού συστήματος. Ελέγξτε επίσης αν ο πελάτης ήθελε αρχικά να δει το μενού, να παραγγείλει ή να πληρώσει. Ελέγξτε ξεχωριστά αν άνοιξε η σελίδα με σάρωση του κωδικού QR, αν υποβλήθηκε η παραγγελία, αν την αποδέχτηκε το κατάστημα και αν ξεκίνησε η παρασκευή στην κουζίνα, ώστε η ανησυχία για την ασφάλεια να μην οδηγήσει και σε διπλή παραγγελία.

Πριν από την επαναφορά, αφήστε καταγραφή που επιτρέπει την ομαλή παράδοση της βάρδιας

• Τι εντοπίστηκε: καταγράψτε την ώρα, τη θέση της πινακίδας, τις αλλαγές στην εμφάνισή της και τη διεύθυνση που εμφανίστηκε στην προεπισκόπηση. Μην αποθηκεύετε περιττά στοιχεία πελατών.
• Πεδίο ελέγχου: καταγράψτε τις πινακίδες της ίδιας παρτίδας, τα εφεδρικά τεμάχια και τις κοντινές περιοχές. Ξεχωρίστε την επικάλυψη, τη λανθασμένη τοποθέτηση και τις αλλαγές ρυθμίσεων που έχουν επιβεβαιωθεί.
• Τρέχουσα διευθέτηση: σημειώστε ποια σημεία πρόσβασης παραμένουν εκτός χρήσης, ποιος παρέχει το μενού με άλλον τρόπο και ποιος θα συνεχίσει τη διερεύνηση.
• Προϋποθέσεις επαναφοράς: αφού ο υπεύθυνος επιβεβαιώσει την αιτία και χρησιμοποιήσει πινακίδα από εγκεκριμένη πηγή, ελέγξτε ξανά την εμφάνιση, τον τομέα, το κατάστημα και τον αριθμό τραπεζιού. Ενημερώστε το προσωπικό της βάρδιας για το εύρος της επαναφοράς.

Οι τακτικοί έλεγχοι δεν μπορούν να αποκλείσουν κάθε επίθεση και δεν πιστοποιούν ότι η σάρωση κωδικών QR είναι χωρίς κανέναν κίνδυνο. Οι νέοι εργαζόμενοι πρέπει να γνωρίζουν πού βρίσκεται το εγκεκριμένο πρότυπο, ποιος εγκρίνει τις αντικαταστάσεις και σε ποιες περιπτώσεις δεν επιτρέπεται να επαναφέρουν μόνοι τους τις πινακίδες ή τα σημεία πρόσβασης σε χρήση. Κατά την παράδοση της βάρδιας, μεταφέρετε με ακρίβεια τι παραμένει εκτός χρήσης, αντί να πείτε απλώς ότι ο σύνδεσμος ανοίγει.