Så kontrollerar du restaurangens QR-skyltar: överklistrade koder, okända webbadresser och fel bordsnummer

Kontrollera utseendet, webbadressen och det tillhörande bordsnumret på restaurangens bordsskyltar med QR-koder. En skylt som ser hel ut kan ändå stå på fel plats, och även om sidan går att öppna är det inte säkert att den är godkänd av restaurangen. Pausa användningen om något verkar avvikande och låt personalen erbjuda menyn manuellt i stället. Utsätt inte gästerna för riskerna med kontrollen.

I en säkerhetsartikel publicerad av INCIBE 2022-6-30 rekommenderas att man kontrollerar webbadressen innan man öppnar en QR-länk, är uppmärksam på misstänkta adresser och nedladdningar och inte lämnar ut privata uppgifter till sidor som inte har verifierats. Den här artikeln går igenom en befintlig guide och är inte en rapport om en ny händelse.

Spara först ett original att jämföra med

Låt en ansvarig spara ett referensunderlag med bordsskyltarnas aktuella utformning, bordsnummer och förväntade webbadresser samt dokumentera varifrån nytryckta skyltar och ersättningsskyltar kommer. Underlaget ska inte innehålla administratörskonton, nycklar eller andra hemliga uppgifter. Personalen ska kunna kontrollera länken till tjänsten utan att behöva tillgång till administratörernas inloggningsuppgifter. Bilder i chattar vars ursprung är okänt får inte användas direkt som underlag för nytryck.

Tre typer av avvikelser kräver olika kontroller

• Extra lager eller en okänd etikett: Ta skylten ur bruk, dokumentera dess placering och utseende och låt en ansvarig bevara nödvändiga ledtrådar. Riv inte genast bort lagret och sätt tillbaka skylten.
• Förhandsvisningen visar en annan webbadress än originalet: Öppna inte länken och ladda inte ned något. Kontakta tjänsteleverantören via en känd, officiell kanal för att få adressen verifierad. Använd inte kontaktuppgifter från den misstänkta sidan.
• Webbadressen verkar korrekt men bordsnumret stämmer inte: Kontrollera restaurangen, bordsnumret och skyltens placering. Se efter om skylten hamnat fel efter städning eller när bord slagits ihop. Låt inte gästerna fortsätta beställa bara för att menyn går att läsa.

Gör en regelbunden kontroll längs en bestämd rutt innan gästerna sätter sig. Använd en enhet som restaurangen har kontroll över för att granska QR-kodens förhandsvisade webbadress. Även om länken verkar korrekt ska ni kontrollera restaurangens namn, menyn och bordsnumret. Hantera reservskyltar på samma sätt så att gamla skyltar inte av misstag tas i bruk igen efter ett byte.

HTTPS bevisar inte i sig att sidan tillhör restaurangen

En krypterad anslutning skyddar data under överföringen, men bevisar inte i sig att identiteten eller innehållet är äkta. Personalen ska känna igen restaurangens godkända domän och vara uppmärksam på ändrad stavning. En ansvarig ska kontrollera hela länkvägen för kortlänkar eller flera omdirigeringar och se att den stämmer med inställningarna. Avsluta inte kontrollen bara för att adressfältet visar ett hänglås.

Om en menylänk plötsligt kräver att man installerar en okänd app, anger en verifieringskod som inte behövs för att se menyn eller lämnar ut känsliga uppgifter ska ni stoppa användningen och kontrollera saken. Be inte kollegor att upprepade gånger fylla i uppgifter på sina privata telefoner för att bekräfta risken. En pappersmeny eller muntlig service kan användas under tiden.

Om en gäst redan har agerat: hantera servicen och kontrollen separat

Be först gästen att inte fortsätta skriva in uppgifter eller ladda ned något. Dokumentera nödvändiga uppgifter som gästen frivilligt lämnar. Personalen ska inte ta över gästernas bankkonton, be om sms-verifieringskoder eller vidarebefordra bilder av hela telefonskärmen till gruppchattar med många deltagare. Om betalningsuppgifter kan ha berörts ber ni gästen att kontakta tjänsteleverantören via en officiell kanal som gästen själv söker fram och söka professionell hjälp med säkerheten. Lova inte att skadan redan har begränsats.

Att betalningen inte syns i menysystemet bevisar inte att ingen extern transaktion har genomförts. Kontrollera också om gästen från början ville läsa menyn, beställa eller betala. Kontrollera separat om länken öppnades genom att QR-koden skannades, om beställningen skickades in, om restaurangen tog emot den och om köket började tillaga maten, så att osäkerheten kring säkerheten inte dessutom leder till en dubbelbeställning.

Dokumentera så att nästa arbetspass kan ta över innan ni återställer

• Vad som upptäcktes: Anteckna tid, skyltens placering, vad som förändrats i utseendet och vart förhandsvisningen leder. Spara inte fler uppgifter om gästen än nödvändigt.
• Vad som kontrollerades: Lista skyltar från samma omgång, reservskyltar och närliggande områden. Skilj mellan överklistringar, felplaceringar och konfigurationsändringar som har bekräftats.
• Vad som gäller nu: Ange vilka länkar som fortfarande är pausade, vem som erbjuder menyn på annat sätt och vem som fortsätter kontrollen.
• Underlag för att återställa: En ansvarig bekräftar orsaken och använder en skylt från en kontrollerad källa. Kontrollera sedan utseende, domän, restaurang och bordsnummer, och informera personalen på arbetspasset om vad som åter tas i bruk.

Inspektioner kan inte utesluta alla angrepp och innebär inte att QR-skanning är riskfri. Nyanställda behöver veta var originalet finns, vem som godkänner byten och vid vilka avvikelser de inte själva får återuppta användningen. Vid skiftbyte ska det tydligt framgå exakt vad som fortfarande är pausat, inte bara att länken går att öppna.