Cómo revisar los carteles de mesa con códigos QR: adhesivos superpuestos, direcciones desconocidas y números de mesa incorrectos

Para revisar un cartel de mesa con código QR en un restaurante, compruebe su aspecto, la dirección web y el número de mesa correspondiente. Aunque el cartel parezca intacto, puede estar en la mesa equivocada; y aunque la página se abra, quizá no lleve al destino aprobado por el establecimiento. Si detecta algo anómalo, suspenda su uso y continúe atendiendo con el menú en persona: no haga que los clientes asuman el riesgo de comprobarlo.

Un artículo de seguridad publicado por INCIBE el 2022-6-30 recomienda comprobar la dirección de destino antes de abrir un enlace de código QR, desconfiar de direcciones sospechosas y de las descargas, y no facilitar datos privados en páginas que no se hayan verificado. Este artículo analiza una guía ya existente; no informa de un incidente nuevo.

Guarde primero un modelo de referencia con el que comparar

La persona responsable debe guardar el diseño actual de los carteles, los números de mesa y las direcciones previstas, y registrar de dónde proceden los carteles nuevos y los de sustitución. El modelo de referencia no debe incluir credenciales de acceso al sistema de gestión, claves ni otros secretos. El personal puede comprobar el canal de servicio sin tener acceso a las credenciales de administración. Una imagen de origen desconocido recibida por chat no es una referencia válida para encargar nuevas impresiones.

Tres situaciones, cada una requiere comprobaciones distintas

• Si hay un adhesivo superpuesto o una pegatina desconocida: deje de usar el cartel de esa mesa, anote su ubicación y aspecto, y comunique la situación a la persona responsable para que conserve las pruebas necesarias. No se limite a despegar el adhesivo y volver a colocar el cartel.
• Si la dirección que aparece en la vista previa no coincide con la del modelo de referencia: no siga abriéndola ni descargando nada. Póngase en contacto con el proveedor del servicio a través de un canal oficial conocido para que la verifique; no use los datos de contacto que aparezcan en la página sospechosa.
• Si la dirección es correcta, pero no coincide el número de mesa: compruebe el establecimiento, el número y la ubicación del cartel. Revise cómo se colocó después de limpiar o juntar mesas. No permita que los clientes sigan haciendo pedidos solo porque el menú se pueda leer.

Como parte de la rutina diaria, siga un recorrido fijo de comprobación antes de que se sienten los clientes. Use un dispositivo controlado por el establecimiento para consultar primero la dirección que muestra la vista previa del código QR. Aunque el destino sea el habitual, compruebe también el nombre del establecimiento, el menú y el número de mesa. Gestione los carteles de repuesto del mismo modo para evitar que los antiguos vuelvan a mezclarse con los que están en uso después de una sustitución.

HTTPS no demuestra por sí solo que la página pertenezca al establecimiento

Una conexión cifrada protege los datos durante la transmisión, pero por sí sola no demuestra que la identidad ni el contenido sean auténticos. El personal debe conocer los dominios aprobados por el establecimiento y estar atento a cambios en la ortografía. Si se usan enlaces cortos o varias redirecciones, la persona responsable debe confirmar que toda la ruta coincide con la configuración prevista; no basta con ver el icono del candado para dar por terminada la comprobación.

Si el acceso al menú de repente pide instalar una aplicación desconocida, introducir un código de verificación que no tiene relación con la consulta del menú o facilitar datos confidenciales, suspenda ese acceso y verifíquelo. No pida a sus compañeros que usen repetidamente sus teléfonos personales para introducir datos y demostrar que hay un riesgo. Mientras tanto, pueden continuar la atención con menús impresos y ayuda verbal.

Si el cliente ya ha realizado alguna acción, separe la atención de la investigación

Pida primero al cliente que no siga introduciendo datos ni descargando archivos, y anote solo la información necesaria que decida facilitar voluntariamente. El personal no debe hacerse cargo de sus cuentas bancarias, pedirle códigos de verificación recibidos por SMS ni reenviar capturas completas de la pantalla del teléfono a grupos numerosos. Si hay datos de pago implicados, pida al cliente que contacte con el proveedor por un canal oficial que busque por su cuenta y que solicite asistencia profesional de seguridad. No garantice que las pérdidas ya se hayan detenido.

Que el sistema de menús no muestre un pago no demuestra que no se haya realizado una transacción externa. Compruebe también si el cliente quería consultar el menú, hacer un pedido o pagar. Verifique por separado si se ha escaneado el código QR y abierto su enlace, si se ha enviado el pedido, si el establecimiento lo ha aceptado y si la cocina lo ha preparado, para evitar que una duda de seguridad provoque además un pedido duplicado.

Deje constancia para que el siguiente turno pueda continuar la revisión

• Qué se ha detectado: anote la hora, la ubicación del cartel, los cambios en su aspecto y el destino que aparece en la vista previa. No guarde datos de clientes que no sean necesarios.
• Qué se ha revisado: enumere los carteles del mismo lote, los de repuesto y los de las zonas cercanas; distinga entre adhesivos superpuestos, carteles mal colocados y cambios de configuración confirmados.
• Qué medidas siguen vigentes: indique qué accesos continúan suspendidos, quién ofrece el menú en persona y quién seguirá investigando.
• En qué se basa la reanudación: antes de volver a usar los carteles, la persona responsable debe confirmar la causa y recurrir a carteles de una fuente controlada. Después, debe comprobar de nuevo su aspecto, el dominio, el establecimiento y el número de mesa, e informar al personal del turno sobre qué se ha restablecido.

Las inspecciones no pueden descartar todos los ataques ni certificar que escanear un código QR esté libre de riesgos. El personal nuevo debe saber dónde está el modelo de referencia, quién autoriza las sustituciones y ante qué anomalías no puede restablecer el servicio por su cuenta. En el cambio de turno, hay que comunicar con precisión qué accesos siguen suspendidos, en lugar de decir simplemente que el enlace ya se abre.