Restoran QR kodlu masa kartları nasıl denetlenir: Üstüne yapıştırılan etiketler, tanınmayan adresler ve yanlış masa numaraları

Restoranlardaki QR kodlu masa kartlarında görünüşü, web adresini ve ilgili masa numarasını birlikte kontrol edin. Kartın görünüşü bozulmamış olsa bile yanlış masaya konmuş olabilir; açılan sayfa da işletmenin onayladığı adrese yönlenmeyebilir. Bir sorun fark ederseniz kullanımı durdurun ve personel aracılığıyla basılı menü ya da doğrudan hizmet sunun; doğrulama riskini konuğa yüklemeyin.

INCIBE’nin 2022-6-30 tarihinde yayımladığı güvenlik yazısı, QR kod bağlantısını açmadan önce hedef web adresini kontrol etmeyi, şüpheli adreslere ve indirmelere karşı dikkatli olmayı, doğrulanmamış sayfalara özel bilgiler vermemeyi hatırlatıyor. Bu yazı, daha önce yayımlanmış bir kılavuzun değerlendirmesidir; yeni bir olay bildirimi değildir.

Karşılaştırma için önce bir ana kayıt oluşturun

Sorumlu kişi, masa kartlarının güncel görünüşünü, masa numaralarını ve beklenen adresleri kaydetmeli; yeni baskıların ve değiştirilen kartların kaynağını da belirtmelidir. Ana kayıtta arka ofis hesapları, anahtarlar veya başka gizli bilgiler bulunmamalıdır. Personel, hizmet bağlantısını kontrol edebilmeli ancak yönetici kimlik bilgilerine erişmek zorunda olmamalıdır. Kaynağı belli olmayan sohbet görselleri, yeniden baskı için doğrudan dayanak alınmamalıdır.

Üç farklı durum, üç ayrı kontrol gerektirir

• Üstüne ek bir kaplama veya tanınmayan bir etiket yapıştırılmışsa: Önce masa kartını kullanımdan kaldırın, bulunduğu yeri ve görünüşünü kaydedin, gerekli izlerin korunması için sorumlu kişiye teslim edin. Kaplamayı veya etiketi aceleyle söküp kartı yeniden masaya koymayın.
• Önizlemede görünen web adresi ana kayıttakinden farklıysa: Sayfayı açmaya veya dosya indirmeye devam etmeyin. Hizmet sağlayıcıyla, bilinen resmî bir kanal üzerinden iletişime geçip doğrulama yapın; şüpheli sayfadaki iletişim bilgilerini kullanmayın.
• Web adresi doğru ama masa numarası uyuşmuyorsa: İşletmeyi, masa numarasını ve kartın bulunduğu yeri kontrol edin; temizlikten veya masaların birleştirilmesinden sonra kartların yanlış yere konup konmadığına bakın. Menü açılıyor diye konuğun sipariş vermeye devam etmesine izin vermeyin.

Her gün, konuklar masalarına oturmadan önce belirlenmiş bir güzergâh izleyerek kontrol yapın. QR kodun önizlemesinde görünen adresi önce işletmenin kontrolündeki bir cihazdan inceleyin. Adres doğru olsa da işletme adını, menüyü ve masa numarasını doğrulayın. Yedek kartları da aynı denetim düzenine dâhil edin; böylece değiştirilen eski kartlar yeniden kullanıma karışmaz.

HTTPS, sayfanın tek başına bu işletmeye ait olduğunu kanıtlamaz

Şifreli bağlantı, aktarım sırasında verileri korur; ancak kimliğin veya içeriğin gerçek olduğunu tek başına kanıtlamaz. Personel, işletmenin onayladığı alan adlarını tanımalı ve yazım farklılıklarına dikkat etmelidir. Kısa bağlantılar veya birden fazla yönlendirme varsa, tüm bağlantı yolunun ayarlara uygun olduğunu sorumlu kişi doğrulamalıdır. Yalnızca kilit simgesini görüp kontrolü bitirmeyin.

Menü bağlantısı aniden bilinmeyen bir uygulama yüklemenizi, menüyü görüntülemekle ilgisi olmayan bir doğrulama kodunu veya hassas bilgileri girmenizi isterse bu bağlantıyı kullanmayı bırakın ve doğrulama yapın. Risk olup olmadığını kanıtlamak için iş arkadaşlarınızdan kişisel telefonlarında bilgileri tekrar tekrar girmelerini istemeyin. Bu sırada basılı menüyle veya doğrudan hizmet sunarak yardımcı olabilirsiniz.

Konuk bağlantıyla zaten işlem yaptıysa, hizmet sunumunu ve güvenlik kontrolünü ayrı yürütün

Önce konuğa bilgi girmeyi veya dosya indirmeyi sürdürmemesini söyleyin; gönüllü olarak paylaştığı gerekli bilgileri kaydedin. Personel konuğun banka hesabını devralmamalı, SMS doğrulama kodlarını istememeli veya telefon ekranının tamamını geniş gruplara iletmemelidir. Ödeme bilgileri söz konusuysa konuktan, kendi bulduğu resmî kanallar üzerinden hizmet sağlayıcıyla iletişime geçmesini ve uzman güvenlik desteği almasını isteyin. Zararın önlendiğine dair güvence vermeyin.

Menü sisteminde bir ödeme görünmemesi, haricî bir işlem yapılmadığını kanıtlamaz. Ayrıca konuğun başlangıçta menüyü görüntülemek mi, sipariş vermek mi yoksa ödeme yapmak mı istediğini doğrulayın. QR kod taranarak hedef sayfanın açılıp açılmadığını, siparişin gönderilip gönderilmediğini, işletmenin siparişi kabul edip etmediğini ve mutfakta hazırlığa başlanıp başlanmadığını ayrı ayrı kontrol edin; güvenlik şüphesinin bir de mükerrer siparişe yol açmasını önleyin.

Kullanıma dönmeden önce vardiya devrine uygun kayıt tutun

• Tespit edilen durum: Saati, masa kartının yerini, görünüşündeki değişikliği ve önizlemede görünen yönlendirme adresini kaydedin. Gereksiz konuk bilgilerini saklamayın.
• Kontrol kapsamı: Aynı partideki ve yedek kartları, ayrıca yakındaki alanları listeleyin; kaplama, yanlış yere konma ve doğrulanmış yapılandırma değişikliklerini birbirinden ayırın.
• Mevcut düzenleme: Hangi bağlantıların hâlâ kullanıma kapalı olduğunu, basılı menüyü kimin sunacağını ve doğrulamayı kimin sürdüreceğini belirtin.
• Yeniden kullanıma alma dayanağı: Sorumlu kişi nedeni doğruladıktan ve kontrollü kaynaktan alınmış masa kartını kullandıktan sonra görünüşü, alan adını, işletmeyi ve masa numarasını yeniden kontrol edin; hangi kartların yeniden kullanılabileceğini vardiya personeline bildirin.

Düzenli denetim, her türlü saldırı olasılığını dışlayamaz; QR kod taramasının risksiz olduğunu da belgelemez. Yeni çalışanlar ana kaydın nerede olduğunu, kart değişimini kimin onayladığını ve hangi anormal durumlarda kullanımı kendi başlarına yeniden başlatmamaları gerektiğini bilmelidir. Vardiya devrinde yalnızca “bağlantı artık açılıyor” demek yerine, kullanımın tam olarak hangi kartlar ve bağlantılar için durdurulduğunu aktarın.