Як перевіряти QR-коди на настільних табличках у ресторані: наклейки поверх коду, підозрілі адреси та переплутані номери столів

QR-таблички в ресторані потрібно перевіряти за виглядом, адресою сайту та відповідністю номеру столу. Навіть неушкоджена табличка може стояти не на тому столі, а сторінка, що відкрилася, може вести не туди, куди дозволив заклад. У разі відхилень спершу припиніть користуватися табличкою, а обслуговування продовжте за допомогою персоналу й паперового меню, щоб не перекладати ризик перевірки на гостей.

У статті з безпеки, опублікованій INCIBE 2022-6-30, нагадують: перед переходом за посиланням із QR-коду перевіряйте цільову адресу, остерігайтеся підозрілих адрес і завантажень та не надавайте конфіденційних даних на неперевірених сторінках. Цей матеріал пояснює вже опубліковані рекомендації, а не повідомляє про новий інцидент.

Спершу збережіть контрольний зразок для звірки

Відповідальна особа має зберігати зразок актуального вигляду таблички, номерів столів і очікуваних адрес, а також вести облік нових і замінених табличок та джерел їх отримання. Контрольний зразок не повинен містити облікових даних для входу в адміністративну панель, ключів чи іншої таємної інформації: персоналу достатньо перевіряти посилання для обслуговування, йому не потрібні адміністративні облікові дані. Зображення з чату невідомого походження не можна використовувати як підставу для повторного друку.

Три типи ситуацій — і різні способи перевірки

• Є наклейка поверх коду або невідома наклейка: припиніть користуватися цією табличкою, зафіксуйте її місце й вигляд та передайте відповідальній особі, щоб зберегти потрібні докази. Не поспішайте знімати наклейку, а потім знову виставляти табличку.
• Адреса в попередньому перегляді відрізняється від контрольного зразка: не переходьте за нею й нічого не завантажуйте. Зв’яжіться з постачальником послуг через відомий офіційний канал для перевірки; не використовуйте контактні дані служби підтримки з підозрілої сторінки.
• Адреса правильна, але номер столу не збігається: перевірте заклад, номер столу й місце таблички, а також з’ясуйте, чи її не переставили під час прибирання або об’єднання столів. Те, що меню відкривається, не означає, що гостям слід продовжувати оформлення замовлення.

Перед посадкою гостей щодня перевіряйте таблички, рухаючись за визначеним маршрутом. За допомогою пристрою, контрольованого закладом, спершу перегляньте адресу, на яку веде QR-код. Навіть якщо посилання виглядає звичним, звірте назву закладу, меню й номер столу. Зберігайте запасні таблички під таким самим контролем, щоб після заміни старі випадково не повернулися в обіг.

HTTPS сам по собі не підтверджує, що сторінка належить закладу

Зашифроване з’єднання захищає передавання даних, але саме по собі не підтверджує справжність сторінки чи вмісту. Персонал має знати домен, схвалений закладом, і помічати зміни в написанні. Короткі посилання або численні перенаправлення має перевірити відповідальна особа, з’ясувавши, чи відповідає весь ланцюжок налаштуванням. Самого значка замка для перевірки недостатньо.

Якщо для перегляду меню раптом просять установити невідому програму, ввести код підтвердження, не потрібний для перегляду меню, або надати конфіденційні дані, припиніть користуватися цим посиланням і перевірте його. Не просіть колег багаторазово вводити дані на особистих телефонах, щоб довести наявність ризику. Поки що можна обслуговувати гостей за паперовим меню або усно.

Якщо гість уже щось зробив, відокремте обслуговування від перевірки інциденту

Попросіть гостя не вводити й не завантажувати нічого далі та зафіксуйте лише необхідні відомості, які він погодився надати. Персонал не має входити до банківського рахунку гостя, просити код із SMS або пересилати повне зображення екрана телефона до групового чату. Якщо йдеться про платіжні дані, попросіть гостя самостійно знайти офіційний канал зв’язку зі своїм постачальником послуг і звернутися по фахову допомогу з безпеки. Не обіцяйте, що фінансові втрати вже вдалося відвернути.

Якщо платіж не відображається в системі меню, це не доводить, що зовнішньої транзакції не було. Також уточніть, що саме гість спочатку хотів зробити: переглянути меню, замовити чи оплатити. Окремо перевірте, чи відкрилася сторінка після сканування QR-коду, чи було надіслано замовлення, чи прийняв його заклад і чи почала кухня готувати, щоб з’ясування питань безпеки не спричинило ще й повторного замовлення.

Перед відновленням роботи залиште зрозумілий запис для наступної зміни

• Що виявили: зазначте час, місце таблички, зміни в її вигляді та адресу, на яку веде QR-код. Не зберігайте зайві дані про гостей.
• Що перевірили: перелічіть таблички з тієї самої партії, запасні таблички й сусідні зони; розрізніть наклеювання поверх коду, неправильне розміщення та підтверджену зміну налаштувань.
• Поточні дії: зазначте, якими посиланнями досі не користуються, хто пропонує гостям паперове меню та хто продовжує перевірку.
• Підстава для відновлення: після з’ясування причини відповідальна особа має використати табличку з контрольованого джерела, повторно перевірити її вигляд, домен, назву закладу й номер столу та повідомити працівників зміни, що саме можна знову використовувати.

Перевірки не дають змоги виключити всі атаки й не засвідчують, що сканування QR-коду цілком безпечне. Нові працівники мають знати, де зберігається контрольний зразок, хто погоджує заміну та після яких відхилень не можна самостійно відновлювати використання табличок. Під час передавання зміни потрібно точно зазначати, що саме досі не можна використовувати, а не обмежуватися словами, що посилання вже відкривається.