Vérifier les chevalets de table avec QR code : autocollants suspects, URL inconnues et numéros de table incorrects

Pour vérifier un chevalet de table avec QR code dans un restaurant, contrôlez son apparence, son adresse web et le numéro de table auquel il correspond. Un chevalet intact peut être à la mauvaise place, et une page qui s’ouvre peut mener vers une destination que l’établissement n’a pas approuvée. En cas d’anomalie, suspendez son utilisation et demandez au personnel de prendre le relais avec un menu proposé directement, sans faire porter aux clients la responsabilité de la vérification.

Dans son article sur la sécurité publié le 2022-6-30, l’INCIBE recommande de vérifier l’adresse de destination avant d’ouvrir un lien associé à un QR code, de se méfier des adresses suspectes et des téléchargements, et de ne pas communiquer de données privées sur une page qui n’a pas été vérifiée. Le présent article commente un guide existant ; il ne s’agit pas du signalement d’un nouvel incident.

Conservez d’abord une référence fiable

La personne responsable conserve un exemplaire du modèle actuel des chevalets, avec les numéros de table et les adresses attendues, et consigne la provenance de toute nouvelle impression ou de tout remplacement. Cette référence ne contient ni identifiants d’accès à l’administration, ni clés, ni autres secrets. Le personnel peut vérifier le lien utilisé pour le service sans avoir besoin d’identifiants d’administration. Une image de provenance inconnue reçue dans une conversation ne doit pas servir directement de modèle pour une réimpression.

Trois types de situations, trois vérifications distinctes

• Présence d’un élément ajouté par-dessus ou d’un autocollant inconnu : cessez d’abord d’utiliser le chevalet, consignez son emplacement et son apparence, puis transmettez ces éléments à la personne responsable afin qu’elle conserve les indices nécessaires. Ne vous empressez pas de retirer l’élément ajouté pour remettre aussitôt le chevalet en place.
• L’adresse affichée en aperçu ne correspond pas à la référence : ne l’ouvrez pas et ne téléchargez rien. Contactez le prestataire en passant par un canal officiel connu pour vérifier l’adresse ; n’utilisez pas les coordonnées figurant sur la page suspecte.
• L’adresse est correcte, mais le numéro de table ne correspond pas : vérifiez l’établissement, le numéro de table et l’emplacement du chevalet. Contrôlez son positionnement après le nettoyage ou le regroupement de tables. Ne laissez pas les clients continuer à commander au seul motif que le menu s’affiche correctement.

Effectuez une vérification quotidienne en suivant un parcours défini, avant l’installation des clients. À l’aide d’un appareil contrôlé par l’établissement, commencez par vérifier l’adresse affichée en aperçu du QR code. Même si le lien mène à une destination habituelle, vérifiez aussi le nom de l’établissement, le menu et le numéro de table. Gérez les chevalets de rechange de la même manière afin qu’un ancien exemplaire ne soit pas remis en circulation après son remplacement.

HTTPS ne suffit pas à prouver que la page appartient à l’établissement

Une connexion chiffrée protège les données échangées, mais ne prouve pas à elle seule l’identité du site ni l’authenticité de son contenu. Le personnel doit connaître les domaines approuvés par l’établissement et repérer toute variation d’orthographe. Pour un lien raccourci ou une page qui passe par plusieurs redirections, la personne responsable doit vérifier que l’ensemble du parcours correspond à la configuration attendue. La présence d’un cadenas ne suffit pas pour clore la vérification.

Si le lien d’accès au menu demande soudain d’installer une application inconnue, de saisir un code de vérification sans rapport avec la consultation du menu ou de fournir des données sensibles, suspendez l’utilisation de ce lien et effectuez les vérifications nécessaires. Ne demandez pas à des collègues de saisir des informations à plusieurs reprises sur leur téléphone personnel pour démontrer le risque. Des menus papier et un service assuré oralement peuvent prendre le relais en attendant.

Si un client a déjà effectué une action, distinguez le service de la vérification

Demandez d’abord au client de ne plus rien saisir ni télécharger, puis consignez les éléments nécessaires qu’il accepte de communiquer. Le personnel ne prend pas le contrôle de son compte bancaire, ne lui demande pas de code reçu par SMS et ne transfère pas de captures complètes de son téléphone dans un groupe réunissant plusieurs personnes. Si des données de paiement sont concernées, invitez le client à contacter le prestataire par un canal officiel qu’il aura trouvé lui-même et à demander l’aide de spécialistes en sécurité. Ne garantissez pas que les pertes ont déjà été endiguées.

Le fait qu’un paiement n’apparaisse pas dans le système de gestion des menus ne prouve pas qu’aucune transaction externe n’a eu lieu. Vérifiez également si le client voulait consulter le menu, commander ou payer. Confirmez séparément l’ouverture du lien après scan, l’envoi de la commande, son acceptation par l’établissement et sa préparation en cuisine afin qu’un doute lié à la sécurité n’entraîne pas une commande en double.

Consignez les informations nécessaires à la relève avant la remise en service

• Constat : indiquez l’heure, l’emplacement du chevalet, les changements visibles et la destination affichée en aperçu. Ne consignez pas de données sur les clients qui ne sont pas nécessaires.
• Périmètre vérifié : listez les chevalets du même lot, les exemplaires de rechange et ceux des zones voisines. Distinguez les autocollants ajoutés, les chevalets mal placés et les changements de configuration confirmés.
• Mesures en cours : précisez quels liens restent suspendus, qui propose le menu directement et qui poursuit les vérifications.
• Conditions de remise en service : une fois que la personne responsable a confirmé la cause et mis en place des chevalets provenant d’une source contrôlée, elle vérifie de nouveau leur apparence, le nom de domaine, l’établissement et le numéro de table, puis précise à l’équipe en service le périmètre de la remise en service.

Les inspections ne permettent pas d’exclure toutes les attaques et ne certifient pas que le scan d’un QR code est sans risque. Les nouveaux membres de l’équipe doivent savoir où se trouve la référence, qui autorise les remplacements et dans quels cas ils ne doivent pas rétablir le service de leur propre initiative. Lors de la relève, maintenez les suspensions sur le périmètre précisément défini, au lieu de vous contenter de dire que le lien s’ouvre de nouveau.