Como verificar os displays de mesa com QR code: adesivos sobrepostos, URLs desconhecidas e números de mesa trocados

Os displays de mesa com QR code do restaurante devem ser verificados quanto à aparência, ao endereço da página e ao número da mesa correspondente. Mesmo que pareça intacto, um display pode estar no lugar errado; e uma página que abre pode levar a um destino que o estabelecimento não aprovou. Se notar algo estranho, suspenda o uso e peça à equipe que continue o atendimento com o menu presencial, sem transferir aos clientes o risco da verificação.

Um artigo de segurança publicado pelo INCIBE em 2022-6-30 recomenda conferir o endereço de destino antes de abrir um link de QR code, ter cautela com endereços suspeitos e downloads e não fornecer informações privadas a páginas que não foram verificadas. Este artigo analisa um guia já existente; não é um alerta sobre um novo incidente.

Mantenha um modelo de referência para comparação

A pessoa responsável deve guardar uma cópia do modelo atual do display, com os números das mesas e os endereços esperados, e registrar a origem de novos exemplares e das substituições. O modelo não deve conter contas de acesso ao sistema administrativo, chaves nem outros segredos. A equipe pode conferir o canal de atendimento sem precisar de credenciais de administração. Imagens recebidas em conversas cuja origem seja desconhecida não devem ser usadas diretamente como base para reimpressões.

Três situações, cada uma exige uma verificação diferente

• Se houver uma camada adicional ou um adesivo desconhecido: retire o display de uso, registre sua localização e aparência e encaminhe-o à pessoa responsável para que preserve as informações necessárias. Não retire às pressas a cobertura ou o adesivo suspeito para depois voltar a usar o display na mesa.
• Se o endereço exibido na prévia for diferente do modelo de referência: não continue acessando a página nem baixe nada. Use um canal oficial conhecido para entrar em contato com o prestador de serviço e confirmar o endereço; não use os dados de contato fornecidos na página suspeita.
• Se o endereço estiver correto, mas o número da mesa não corresponder: confira o estabelecimento, o número da mesa e a posição do display; verifique se ele foi deslocado durante a limpeza ou ao juntar mesas. Não deixe os clientes fazerem pedidos só porque o menu abriu.

Faça uma inspeção diária seguindo sempre o mesmo percurso, antes de os clientes se sentarem. Use um dispositivo controlado pelo estabelecimento para conferir primeiro o endereço exibido na prévia do QR code. Mesmo que o destino seja o esperado, confirme o nome do estabelecimento, o menu e o número da mesa. Mantenha as unidades de reserva sob o mesmo controle para evitar que displays antigos voltem a ser usados depois de uma substituição.

O HTTPS, por si só, não comprova que a página pertence ao restaurante

Uma conexão criptografada protege os dados durante a transmissão, mas não comprova, por si só, que a identidade e o conteúdo são legítimos. A equipe deve reconhecer o domínio aprovado pelo estabelecimento e ficar atenta a alterações na grafia. Se houver um link curto ou vários redirecionamentos, a pessoa responsável deve confirmar se todo o percurso corresponde à configuração prevista. O ícone de cadeado, sozinho, não encerra a verificação.

Se o acesso ao menu passar de repente a exigir a instalação de um aplicativo desconhecido, um código de verificação sem relação com a consulta ao menu ou dados confidenciais, suspenda esse acesso e investigue. Não peça aos colegas que preencham dados repetidamente em seus celulares pessoais para demonstrar que há um risco. Enquanto isso, a equipe pode continuar o atendimento com menus impressos ou verbalmente.

Se o cliente já tiver interagido com a página, separe o atendimento da investigação

Peça ao cliente que não continue digitando informações nem baixe arquivos e registre apenas as informações necessárias que ele fornecer voluntariamente. A equipe não deve assumir o controle da conta bancária, pedir códigos recebidos por SMS nem encaminhar capturas completas da tela do celular a grupos de conversa. Se houver dados de pagamento envolvidos, peça ao cliente que procure o prestador de serviços por um canal oficial que ele próprio localize e busque ajuda especializada em segurança. Não garanta que os prejuízos já tenham sido contidos.

O fato de o sistema de menus não mostrar um pagamento não prova que nenhuma transação externa tenha ocorrido. Confirme também se o cliente pretendia consultar o menu, fazer um pedido ou pagar. Verifique separadamente se a página foi aberta após a leitura do QR code, se o pedido foi enviado, se o restaurante o aceitou e se a cozinha começou a prepará-lo, para que a dúvida de segurança não resulte também em pedidos duplicados.

Registre as informações necessárias para a troca de turno antes de retomar o uso

• O que foi encontrado: anote o horário, a localização do display, as alterações em sua aparência e o endereço mostrado na prévia. Não guarde dados desnecessários dos clientes.
• O que foi verificado: liste os displays do mesmo lote, as unidades de reserva e as áreas próximas; diferencie adesivos sobrepostos, displays deslocados e alterações de configuração confirmadas.
• Medidas em vigor: indique quais acessos continuam suspensos, quem fornecerá o menu presencialmente e quem dará continuidade à verificação.
• Critérios para retomar o uso: depois de confirmar a causa e passar a usar um display de uma fonte controlada, a pessoa responsável deve conferir novamente a aparência, o domínio, o estabelecimento e o número da mesa, e informar à equipe do turno quais displays ou acessos tiveram o uso restabelecido.

As inspeções não conseguem descartar todos os ataques nem certificam que ler um QR code seja isento de riscos. Novos funcionários devem saber onde está o modelo de referência, quem aprova as substituições e em quais situações de anomalia não podem restabelecer o uso por conta própria. Na troca de turno, mantenha claras as restrições específicas que continuam em vigor; não basta dizer que o link já abre.