Cách kiểm tra bảng QR trên bàn nhà hàng: nhãn dán chồng lên mã, URL lạ và nhầm số bàn

Khi kiểm tra bảng QR trên bàn nhà hàng, cần xem xét đồng thời hình thức, URL và số bàn tương ứng. Bảng còn nguyên vẹn vẫn có thể bị đặt nhầm chỗ, còn trang mở được chưa chắc đã dẫn đến địa chỉ được nhà hàng phê duyệt. Nếu phát hiện bất thường, hãy tạm ngưng sử dụng và để nhân viên trực tiếp cung cấp thực đơn thay thế; đừng để khách phải tự gánh rủi ro kiểm tra.

Bài viết về an toàn của INCIBE, đăng ngày 30 tháng 6 năm 2022, khuyến nghị kiểm tra URL đích trước khi mở liên kết QR, cảnh giác với địa chỉ đáng ngờ và nội dung tải xuống, đồng thời không cung cấp thông tin riêng tư cho trang chưa được xác minh. Đây là bài phân tích một hướng dẫn đã có, không phải thông báo về sự việc mới.

Trước tiên, lưu một bản mẫu để đối chiếu

Người phụ trách cần lưu mẫu bảng QR hiện tại cùng số bàn và địa chỉ dự kiến, đồng thời ghi lại nguồn của các bảng mới in hoặc được thay thế. Bản mẫu không chứa tài khoản quản trị, khóa truy cập hay bí mật nào khác; nhân viên có thể kiểm tra lối vào dịch vụ mà không cần được cấp thông tin đăng nhập quản trị. Không dùng ảnh trong tin nhắn không rõ nguồn làm căn cứ trực tiếp để in lại.

Ba dạng bất thường, mỗi dạng cần kiểm tra khác nhau

• Có lớp phủ hoặc nhãn dán lạ: Tạm ngưng sử dụng bảng QR đó, ghi lại vị trí và hình thức, rồi báo người phụ trách để lưu giữ những manh mối cần thiết. Đừng vội bóc nhãn rồi đặt bảng trở lại.
• URL xem trước khác với bản mẫu: Không tiếp tục mở trang hoặc tải nội dung xuống. Hãy liên hệ nhà cung cấp dịch vụ qua kênh chính thức mà bạn đã biết để xác minh; không dùng thông tin liên hệ trên trang đáng ngờ.
• URL bình thường nhưng số bàn không khớp: Kiểm tra chi nhánh, số bàn và vị trí đặt bảng QR; kiểm tra cách bố trí sau khi dọn dẹp hoặc ghép bàn. Đừng để khách tiếp tục gọi món chỉ vì thực đơn hiển thị được.

Trong quy trình hằng ngày, hãy kiểm tra theo một lộ trình cố định trước khi khách ngồi vào bàn. Dùng thiết bị do nhà hàng kiểm soát để xem trước địa chỉ QR; ngay cả khi đó là lối vào bình thường, vẫn cần đối chiếu tên nhà hàng, thực đơn và số bàn. Quản lý cả bảng dự phòng theo cùng quy trình để bảng cũ không bị đưa trở lại sử dụng sau khi đã thay thế.

HTTPS không thể tự nó chứng minh trang thuộc về nhà hàng

Kết nối mã hóa bảo vệ dữ liệu trong quá trình truyền tải, nhưng tự nó không thể xác minh danh tính hay tính xác thực của nội dung. Nhân viên cần nhận biết tên miền được nhà hàng phê duyệt và chú ý đến những thay đổi trong cách viết. Với liên kết rút gọn hoặc có nhiều lần chuyển hướng, người phụ trách cần xác nhận toàn bộ đường dẫn có đúng với cấu hình hay không; không được chỉ nhìn biểu tượng ổ khóa rồi coi như đã kiểm tra xong.

Nếu lối vào thực đơn đột nhiên yêu cầu cài ứng dụng không rõ nguồn gốc, nhập mã xác minh không liên quan đến việc xem thực đơn hoặc cung cấp thông tin nhạy cảm, hãy ngừng sử dụng lối vào đó và xác minh. Đừng yêu cầu đồng nghiệp dùng điện thoại cá nhân để nhập đi nhập lại thông tin nhằm chứng minh có rủi ro; có thể dùng thực đơn giấy và phục vụ trực tiếp trong lúc chờ xử lý.

Nếu khách đã thao tác, hãy tách việc phục vụ khỏi việc xác minh

Trước tiên, đề nghị khách không nhập thêm thông tin hoặc tải nội dung xuống, và ghi lại những manh mối cần thiết mà khách tự nguyện cung cấp. Nhân viên không tiếp quản hay thao tác thay khách trên tài khoản ngân hàng, không yêu cầu mã xác minh qua tin nhắn và không chuyển tiếp ảnh chụp toàn màn hình điện thoại vào nhóm đông người. Nếu có liên quan đến thông tin thanh toán, hãy đề nghị khách tự tìm kênh chính thức để liên hệ nhà cung cấp dịch vụ và tìm hỗ trợ chuyên môn về an toàn thông tin; đừng cam đoan rằng thiệt hại đã được ngăn chặn.

Không tìm thấy khoản thanh toán trong hệ thống thực đơn không chứng minh rằng bên ngoài hệ thống không có giao dịch. Cũng cần xác nhận ban đầu khách định xem thực đơn, gọi món hay thanh toán. Hãy kiểm tra riêng việc quét mã để mở trang, gửi đơn, nhà hàng nhận đơn và bếp chế biến, tránh để câu hỏi về an toàn dẫn đến gọi món trùng lặp.

Ghi lại thông tin để bàn giao trước khi khôi phục

• Tình huống phát hiện: Ghi thời gian, vị trí bảng QR, thay đổi về hình thức và địa chỉ xem trước; không lưu thông tin khách hàng không cần thiết.
• Phạm vi kiểm tra: Liệt kê các bảng cùng lô, bảng dự phòng và khu vực lân cận; phân biệt nhãn dán chồng lên mã, bảng đặt nhầm và thay đổi cấu hình đã được xác nhận.
• Cách xử lý hiện tại: Nêu rõ những lối vào nào vẫn đang tạm ngưng, ai sẽ cung cấp thực đơn trực tiếp và ai tiếp tục xác minh.
• Căn cứ khôi phục: Sau khi người phụ trách xác định nguyên nhân và sử dụng bảng QR lấy từ nguồn được kiểm soát, hãy kiểm tra lại hình thức, tên miền, chi nhánh và số bàn, rồi thông báo cho nhân viên trong ca về phạm vi được khôi phục.

Việc kiểm tra định kỳ không thể loại trừ mọi cuộc tấn công và cũng không phải chứng nhận rằng quét mã hoàn toàn không có rủi ro. Nhân viên mới cần biết bản mẫu được lưu ở đâu, ai có quyền duyệt việc thay thế và những bất thường nào không được tự ý xử lý để khôi phục. Khi bàn giao ca, cần nêu rõ phạm vi đang tạm ngưng, thay vì chỉ nói rằng liên kết đã mở được.