Jak sprawdzać tabliczki z kodem QR na stolikach: naklejki zasłaniające kod, nieznane adresy i pomylone miejsca

Sprawdzając tabliczki z kodem QR na stolikach w restauracji, należy jednocześnie zweryfikować ich wygląd, adres internetowy i przypisany numer stolika. Tabliczka może wyglądać na nienaruszoną, a mimo to stać w niewłaściwym miejscu; strona może się otwierać, ale jej adres może nie być zatwierdzony przez lokal. W razie nieprawidłowości najpierw wstrzymaj korzystanie z tabliczki. Pracownicy powinni udostępnić gościom menu w sposób niewymagający skanowania kodu, zamiast narażać ich na ryzyko związane z weryfikacją.

W artykule na temat bezpieczeństwa opublikowanym przez INCIBE 2022-6-30 przypomniano, by przed otwarciem linku z kodu QR sprawdzić adres docelowy, zachować ostrożność wobec podejrzanych adresów i plików do pobrania oraz nie podawać poufnych danych na niezaufanych stronach. Ten artykuł omawia wcześniejszy poradnik, a nie informuje o nowym incydencie.

Najpierw przygotuj wzór do porównania

Osoba odpowiedzialna powinna przechowywać aktualny wzór tabliczek, numery stolików i oczekiwane adresy oraz odnotowywać źródła nowo drukowanych i wymienianych egzemplarzy. Dokumentacja wzorcowa nie zawiera danych kont administracyjnych, kluczy ani innych poufnych informacji. Pracownicy mogą dzięki niej sprawdzić adres prowadzący do usługi bez uzyskiwania danych dostępowych administratora. Obraz o nieznanym pochodzeniu przesłany na czacie nie może bezpośrednio stanowić podstawy do dodruku.

Trzy rodzaje nieprawidłowości — różne kwestie do sprawdzenia

• Dodatkowa warstwa lub nieznana naklejka: wycofaj tabliczkę z użytku, odnotuj jej położenie i wygląd, a następnie przekaż ją osobie odpowiedzialnej, zachowując niezbędne ślady. Nie odrywaj naklejki i nie odstawiaj tabliczki z powrotem na miejsce bez dalszej weryfikacji.
• Podgląd adresu różni się od wzoru: nie otwieraj strony ani niczego z niej nie pobieraj. Skontaktuj się z usługodawcą, korzystając ze znanego, oficjalnego kanału. Nie używaj danych kontaktowych z podejrzanej strony.
• Adres jest prawidłowy, ale numer stolika się nie zgadza: sprawdź lokal, numer stolika i położenie tabliczki. Zweryfikuj, czy nie została przestawiona podczas sprzątania lub łączenia stolików. Nie pozwalaj gościom kontynuować zamawiania tylko dlatego, że menu się wyświetla.

Przed przyjęciem gości sprawdzaj stoliki codziennie, według ustalonej trasy. Użyj urządzenia kontrolowanego przez restaurację, aby zobaczyć podgląd adresu kodu QR. Nawet w przypadku prawidłowego adresu sprawdź nazwę lokalu, menu i numer stolika. Egzemplarze zapasowe powinny podlegać tym samym zasadom, aby po wymianie stara tabliczka nie wróciła przypadkiem do użytku.

HTTPS samo w sobie nie potwierdza, że strona należy do restauracji

Szyfrowane połączenie chroni przesyłane dane, ale samo w sobie nie potwierdza tożsamości ani autentyczności treści. Pracownicy powinni rozpoznawać domenę zatwierdzoną przez restaurację i zwracać uwagę na różnice w pisowni. W przypadku skróconych linków lub wielokrotnych przekierowań osoba odpowiedzialna powinna sprawdzić, czy cała ścieżka jest zgodna z konfiguracją. Nie należy kończyć weryfikacji tylko dlatego, że widoczna jest ikona kłódki.

Jeśli strona z menu nagle prosi o zainstalowanie nieznanej aplikacji, podanie kodu weryfikacyjnego niezwiązanego z przeglądaniem menu albo poufnych danych, wstrzymaj korzystanie z tego adresu i sprawdź go. Nie każ współpracownikom wielokrotnie wpisywać danych na prywatnych telefonach, by wykazać, że istnieje ryzyko. W międzyczasie można udostępnić menu papierowe i zapewnić obsługę ustną.

Jeśli gość już skorzystał ze strony, oddziel obsługę gościa od weryfikacji incydentu

Najpierw poproś gościa, by nie wpisywał kolejnych danych i niczego nie pobierał. Zapisz niezbędne informacje, które dobrowolnie przekaże. Pracownicy nie przejmują kontroli nad kontem bankowym, nie proszą o kody weryfikacyjne z SMS-ów ani nie przesyłają zrzutów całego ekranu telefonu na czaty grupowe. Jeśli sprawa dotyczy danych płatniczych, poproś gościa, by skontaktował się z usługodawcą przez samodzielnie znaleziony oficjalny kanał i zwrócił się o profesjonalną pomoc w zakresie bezpieczeństwa. Nie zapewniaj, że dalsze straty zostały już powstrzymane.

Brak płatności w systemie menu nie dowodzi, że nie doszło do transakcji zewnętrznej. Ustal też, czy gość chciał wyświetlić menu, złożyć zamówienie czy zapłacić. Osobno potwierdź otwarcie strony po zeskanowaniu kodu, wysłanie zamówienia, przyjęcie go przez restaurację i rozpoczęcie przygotowania przez kuchnię. Dzięki temu obawy dotyczące bezpieczeństwa nie doprowadzą do ponownego złożenia zamówienia.

Przed przywróceniem do użytku sporządź notatkę, która pomoże przy przekazaniu zmiany

• Co zauważono: odnotuj godzinę, położenie tabliczki, zmiany w jej wyglądzie i adres wyświetlony w podglądzie. Nie zapisuj zbędnych danych gości.
• Zakres sprawdzenia: wymień egzemplarze z tej samej partii, zapasowe i znajdujące się w sąsiednich strefach. Rozróżnij naklejki, niewłaściwe ustawienie i potwierdzone zmiany konfiguracji.
• Bieżące ustalenia: wskaż, które adresy pozostają wyłączone, kto udostępnia menu w inny sposób i kto kontynuuje weryfikację.
• Podstawa przywrócenia do użytku: po ustaleniu przyczyny osoba odpowiedzialna powinna użyć tabliczki pochodzącej z kontrolowanego źródła, a następnie sprawdzić jej wygląd, domenę, nazwę lokalu i numer stolika. Powinna też poinformować pracowników na zmianie, co zostało przywrócone do użytku.

Kontrole nie wykluczają wszystkich ataków i nie gwarantują, że skanowanie kodu QR jest całkowicie bezpieczne. Nowi pracownicy powinni wiedzieć, gdzie znajduje się wzór, kto zatwierdza wymianę i których nieprawidłowości nie wolno im samodzielnie uznać za rozwiązane. Przy przekazywaniu zmiany należy podać dokładny zakres wstrzymania, a nie ograniczać się do stwierdzenia, że link już się otwiera.