QR menü güvenli mi? Gerçek risk nerede başlıyor?

Kısa cevap: QR kodun kendisi bir risk taşımaz — kod yalnızca bir web adresini taşıyan siyah beyaz bir desendir, içinde çalışabilir bir program yoktur. Riskler iki yerde başlar: masadaki kodun üzerine başka bir kod yapıştırılmasında ve açılan menünün müşteriden gereğinden fazla şey istemesinde. İkisi de teknik değil, işletme kaynaklı sorunlardır; ikisinin de önlemi basittir.

Güvenlik dışında kalan “açılmıyor” şikâyetlerinin sebeplerini ve çözümlerini ayrı bir yazıda topladık.

Bu ayrımı yapmak önemli, çünkü “QR kod tehlikeli mi” başlıklı haberlerin çoğu iki farklı şeyi birbirine karıştırıyor: sokakta ya da otopark makinesinde karşınıza çıkan sahibi belirsiz bir kodla, sahibini bildiğiniz bir restoranın masasındaki kod aynı şey değil. Aşağıda ikisini ayırıp hem müşteri hem işletme tarafında ne yapılacağını sıraladık.

QR kod telefona virüs bulaştırır mı?

Hayır. Bir QR kod en fazla birkaç yüz karakterlik metin taşır; menülerde bu metin bir adrestir. Telefon kodu okuduğunda yaptığı tek şey o adresi göstermek ve size “açayım mı?” diye sormaktır. Kod kendi başına dosya indirmez, uygulama kurmaz, izin isteyemez.

Dolayısıyla asıl soru “kod güvenli mi” değil, kodun götürdüğü adres doğru mu. Telefonunuz adresi okuturken ekranda gösterir; menüye bakmadan önce oraya bir saniye bakmak, bu yazıdaki risklerin çoğunu ortadan kaldırır.

Asıl risk: kodun üzerine yapıştırılan sahte etiket

Güvenlik dünyasında “quishing” denen yöntem tam olarak budur: saldırgan bir çıkartma bastırır ve mevcut QR kodun üstüne yapıştırır. Kod fiziksel olarak değiştiği için ekranda hiçbir uyarı çıkmaz — müşteri masadaki kodu okutur, kendi menünüz yerine sahte bir sayfaya gider. Restoranlarda bu genelde “ödeme yapın”, “kampanyaya katılın”, “Wi-Fi şifresi için giriş yapın” gibi ekranlarla karşılaşmak demektir.

Bunun teknolojiyle ilgisi yok; aynı şey basılı menüdeki bir telefon numarasının üstüne başka bir numara yapıştırılmasıyla da yapılabilirdi. Fark, QR kodun gözle okunamaması: müşteri kodun değiştiğini anlayamaz, ama işletme anlayabilir. Masadaki kodları haftada bir gözden geçirmek, kabartı yapan ya da hizası kayan bir etiketi fark etmek için yeterlidir.

• Kodu laminatlı, çerçeveli ya da masaya sabit biçimde kullanın; kolay sökülüp üstüne yapıştırılan ince çıkartmalardan kaçının.
• Kodun yanına menünün adresini okunur biçimde yazdırın (menulent.com/isletmeniz gibi). Müşteri ekranda gördüğü adresle karşılaştırabilsin.
• Personel, masadaki kodun nasıl göründüğünü bilsin; servis sırasında bozuk ya da farklı bir etiket görürse hemen bildirsin.
• Bir müşteri “menü yerine ödeme sayfası çıktı” derse bunu şikâyet değil, güvenlik bildirimi sayın ve o masadaki kodu aynı gün değiştirin.

Böyle bir şey olursa yapılacak sıra bellidir: önce o masadaki etiketi kaldırın ve saklayın, sonra salondaki bütün kodları tek tek okutup kontrol edin, ardından müşteriye ne olduğunu açıkça söyleyin. En kötü senaryo, işletmenin sorunu görmezden gelip müşterinin sahte sayfada kart bilgisi girmesidir; bu noktada zarar sizin itibarınıza da yazılır. Kaldırdığınız etiketi atmayın — şikâyet ya da kolluk başvurusunda tek somut delil odur.

Kodunuzu yenilemek zorunda kaldığınızda yeniden bastırmak dakikalar sürer; adresinizi girip indirebileceğiniz ücretsiz QR kod oluşturucumuzu kullanabilirsiniz. Kurulumun tamamını QR menü nasıl yapılır rehberimizde adım adım anlattık.

İkinci risk: menünün müşteriden fazla şey istemesi

Kod doğru sayfaya gitse bile sorun bitmeyebilir. Bazı QR menü sistemleri müşteriyi uygulama indirmeye zorluyor, telefon numarası ya da e-posta istiyor, konum izni açtırıyor veya sayfanın önüne çerez izni penceresi koyuyor. Bunların hiçbiri menü göstermek için gerekli değil; toplanan her veri, işletme için de bir sorumluluk demek.

Müşteri açısından ölçüt nettir: menü görmek için hiçbir şey vermeniz gerekmemeli. Uygulama indirtmeyen, giriş istemeyen, izin penceresi açmayan bir menü doğru kurulmuş demektir. Bu ölçütü bir program seçerken de kullanabilirsiniz; diğer kriterleri QR menü programı nasıl seçilir rehberinde topladık.

Menü sayfasının kendisinde nelere bakılır?

Menüyü açtığınızda üç şey saniyeler içinde kontrol edilebilir. Birincisi adresin https ile başlaması: adres çubuğunda kilit yoksa sayfayla aranızdaki trafik şifrelenmiyordur. İkincisi adresin tanıdık olması — işletmenin adı ya da menü sağlayıcısının adı geçmeli, anlamsız harf yığınları içeren kısaltma adresleri şüphelidir. Üçüncüsü sayfanın sizden bir şey istememesi.

Tarayıcının kendisi de burada bir güvenlik katmanı: bilinen zararlı sayfalarda Chrome ve Safari kırmızı bir uyarı ekranı gösterir. Bu uyarı çıktığında “devam et” demeyin — menü sayfası hiçbir koşulda böyle bir uyarı üretmez. Aynı şekilde bir menü sayfası uygulama mağazasına yönlendiriyorsa ya da dosya indirmeye çalışıyorsa, açtığınız şey menü değildir.

Kısaltılmış bağlantılar (bit.ly benzeri) burada özel bir sorun: gerçek adresi gizledikleri için müşteri nereye gittiğini göremez ve sahtesiyle gerçeğini ayırt edemez. QR kod zaten uzun adresleri taşıyabilir; menüde bağlantı kısaltmaya hiç gerek yoktur.

Menü kodunu Wi-Fi ve ödeme kodundan ayırın

Masada birden fazla QR kod varsa risk artar, çünkü müşteri hangisinin ne olduğunu ayırt edemez. Restoranlarda genelde üç ayrı kod dolaşıyor: menü kodu, Wi-Fi şifresi kodu ve bazı işletmelerde ödeme ya da bahşiş kodu. Sahte etiket vakalarının çoğu tam da bu karışıklıktan besleniyor — müşteri “burada zaten ödeme kodu da vardı” diye düşünüp sahte ödeme sayfasını sorgulamıyor.

Pratik kural: masada yalnızca menü kodu sabit dursun. Wi-Fi şifresini kod yerine düz metin yazın; ödeme alıyorsanız kodu masada bırakmayın, ödeme anında personel getirsin. Böylece masada duran tek kod menü kodu olur ve “bu kod ne?” sorusunun tek bir cevabı kalır.

Müşteri QR kodu okutmak istemezse

Bazı müşteriler kod okutmaktan çekiniyor; bir kısmı güvenlik kaygısıyla, bir kısmı telefonu elverişli olmadığı için. Bu, QR menüden vazgeçmek için değil, ikinci bir yol bırakmak için sebeptir. En ucuz çözüm menü adresini kodun yanına yazmak: kod okutmadan tarayıcıya elle girilebilir.

İkinci çözüm serviste duran birkaç basılı nüsha ya da personelin tabletidir. Yaşlı ve az gören misafirler için de menünün ekran okuyucuyla ve büyük yazıyla çalışması gerekir; bunun nasıl kurulduğunu erişilebilirlik sayfamızda anlattık. Güvenlik kaygısıyla gelen soruya en iyi cevap, kodun yanında yazan tanıdık bir adrestir.

Menulent’te güvenlik nasıl kurulu?

Menülerimizde takip amaçlı çerez yoktur: Google Analytics, reklam pikseli ya da üçüncü taraf izleme aracı kullanılmaz. Bunun doğrudan bir sonucu var — menüye bakan müşterinin karşısına çerez izni penceresi çıkmaz, çünkü izin gerektiren bir çerez yoktur.

Görüntülenme sayısını ayırt etmek için yalnızca tarayıcının oturum deposuna rastgele bir numara yazılır; sekme kapandığında kaybolur, kişiye bağlanamaz ve başka bir siteye taşınamaz. Menü görmek için hesap, e-posta, telefon ya da uygulama istenmez; sayfa tarayıcıda açılır. Ayrıntısı çerez politikamızda ve hangi verinin ne kadar tutulduğu gizlilik politikamızda yazılı.

Menü adresi de bizim alan adımız altında yayınlanır ve tamamen https üzerinden sunulur; müşteriye gösterdiğiniz adres ile ekranda gördüğü adres aynıdır. Bu, sahte etiket şüphesinde karşılaştırma yapmayı kolaylaştıran en pratik şeydir.

İşletme için altı maddelik güvenlik kontrolü

1. 1Masadaki QR kodların hepsi sizin bastırdığınız etiketler mi — üstüne yapıştırılmış bir çıkartma var mı?
2. 2Kodun yanında menünün adresi okunur biçimde yazıyor mu?
3. 3Kodu okuttuğunuzda kendi menünüz açılıyor mu (ayda bir kendiniz test edin)?
4. 4Menü https ile mi açılıyor, tarayıcı uyarı veriyor mu?
5. 5Menü müşteriden giriş, izin ya da uygulama indirmesi istiyor mu?
6. 6Müşteriden herhangi bir kişisel veri topluyorsanız aydınlatma metniniz var mı?

Bir cümlede özetlenirse: bir menü sayfası sizden asla ödeme, şifre ya da kart bilgisi istemez. Bunlardan biri karşınıza çıktıysa açtığınız sayfa menü değildir — kodu okutmayı bırakın, personele haber verin. Müşteriye söylenecek tek cümle bu olsa, sahte etiket saldırılarının işe yaraması neredeyse imkânsız hale gelir.

Bu listenin ilk dört maddesi beş dakikada bakılır ve gerçek riskin neredeyse tamamını kapatır. Son iki madde ise programı seçerken bir kez karar verilir: hiç veri toplamayan bir menü, sonradan yönetilecek bir sorumluluk da doğurmaz.

Kısacası QR menü, doğru kurulduğunda basılı menüden daha güvenli: basılı menüde yanlış fiyatı geri alamazsınız, sahte etiketi de fark edemezsiniz. İkisinin maliyet ve pratik farkını basılı menü mü QR menü mü karşılaştırmamızda ayrı ele aldık.