Een onverwachte QR-betaalsticker in je zaak

Je eerste reflex is waarschijnlijk de sticker scannen met je eigen telefoon of hem meteen afscheuren. Doe geen van beide meteen.

Neem eerst een foto van de sticker in zijn omgeving en een close-up van de sticker zelf. Noteer datum, uur, plaats en wie hem als eerste zag. Controleer of de sticker over een bestaande code is geplakt, want dat is een extra aanwijzing dat iemand hem bewust heeft toegevoegd. Schrijf ook op welke tekst, logo's en betaalmerken erop staan.

Dek de sticker direct af of haal hem weg zodra de foto's genomen zijn, wacht daarvoor niet op de vergelijking. Zeg je team dat niemand de sticker gebruikt en dat klanten tijdelijk een andere betaalmogelijkheid krijgen, zoals de kassa of een terminal. Zo voorkom je dat een klant onbewust op een onbekende bestemming betaalt terwijl jij nog controleert.

Je kunt een sticker alleen beoordelen als je weet wat juist is. Maak daarom een korte referentie van wat jij zelf gebruikt voor QR-betalingen of QR-verwijzingen: welke aanbieder, welke bestemming (webadres of betaalpagina) en wie de code heeft aangemaakt of besteld.

Haal die gegevens uit je eigen contract, je eigen account bij de aanbieder of een bevestigingsmail, niet uit de sticker of uit iets wat een onbekende je doorstuurt. Waar je die gegevens precies vindt, verschilt per aanbieder. Vraag de beheerder of de aanbieder zelf waar je ze terugvindt.

Bewaar de referentie op één plek, met naam van de verantwoordelijke en datum van laatste controle. Zonder referentie blijft elke vergelijking een gok.

Doe de vergelijking op een apparaat dat je daarvoor kiest, bij voorkeur niet het toestel waarop je betaal- of beheerapps staan. Gebruik een scanner of camera die de bestemming toont voordat je iets opent. Kan dat niet, scan dan niet en laat de sticker beoordelen door je aanbieder. Open niets, log nergens in en voer geen gegevens in.

• Komt de volledige domeinnaam letter voor letter overeen met je referentie? Let op bijna-gelijke schrijfwijzen.
• Is het een verkort of omgeleid adres? Dan kun je de eindbestemming niet beoordelen. Behandel dat als twijfelachtig.
• Verschilt de bestemming van wat je aanbieder voor jou heeft geregistreerd?
• Staat er een bedrag, rekeningnummer of naam in die niet bij jouw zaak hoort?
• Is de sticker een andere uitvoering dan je eigen materiaal (papier, afwerking, formaat)?
• Heeft niemand in je team hem besteld of geplaatst?

Beslisregel: komt één punt niet overeen of kun je het niet nagaan, dan beschouw je de sticker als niet vertrouwd. Overeenkomst met je referentie bewijst bovendien niet dat de sticker veilig is op het moment van scannen. Een bestemming kan achteraf veranderen. Een visuele controle blijft dus een signaal.

Heb je een niet-vertrouwde sticker, verwijder hem dan met zorg en bewaar hem.

1. Controleer je foto's: zijn alle hoeken en de omgeving vastgelegd?
2. Trek handschoenen of een doekje aan als je vermoedt dat er iets aan kleeft of dat iemand erover heeft bevestigd.
3. Verwijder de sticker volledig en stop hem in een zakje of envelop met datum en plaats.
4. Controleer of eronder je eigen code of materiaal zit en of dat nog onbeschadigd is. Vervang het zo nodig door een nieuwe, door jouw aanbieder bevestigde versie.
5. Controleer de andere plekken in je zaak, zoals toonbank, toiletten, ingang en tafels.
6. Meld de vondst aan je betaalaanbieder of bank en beslis, eventueel met hun advies, of je de politie inlicht. Of dat verplicht of nuttig is, hangt af van je situatie en beoordeel je niet op basis van dit artikel.

Heeft een klant al betaald via de sticker, houd dan zijn gegevens bij en verwijs hem naar zijn bank. Doe geen terugbetalingen op eigen houtje zonder te overleggen met je aanbieder.

Een vreemde sticker kan wijzen op iemand die in je zaak was, maar ook op een zwakke plek elders. Kijk daarom ook naar de accounts waarmee je betaalcodes en online pagina's beheert.

Voor Google-accounts beschrijft de hulppagina over tweestapsverificatie dat een tweede stap extra bescherming biedt als je wachtwoord wordt gestolen, en dat toegangssleutels een beveiligd alternatief voor wachtwoorden zijn. Gebruik je een account via werk of school, dan kunnen de stappen verschillen. Vraag dan je beheerder.

Als je website zelf betaal- of contactformulieren toont, zijn de basispraktijken uit de MDN-gids over webbeveiliging een nuttige gespreksbasis met je webbouwer, zoals HTTPS, sterke authenticatie en beperkte toegang. Die pagina gaat over webontwikkeling, niet over QR-stickers in je zaak. Laat je webbouwer bevestigen wat bij jou van toepassing is. Een publieke blik van buiten kan dit niet vaststellen.

Een denkbeeldig voorbeeld zonder uitkomst. Invoer: bij opening ligt een sticker op de toonbank met de tekst 'betaal hier', over de eigen QR-code geplakt. Het team heeft de sticker niet besteld.

Verwachte controles: foto's genomen voor verwijdering; referentie van de eigen bestemming opgehaald uit het account van de aanbieder; bestemming van de sticker bekeken zonder iets in te voeren en vergeleken; sticker verwijderd en bewaard; andere plekken nagelopen; aanbieder verwittigd; tweestapsverificatie en toegang van beheerders nagekeken.

Spreek met je team af wie meldt, wie referentie bijhoudt en wie het materiaal verwijdert. Wil je weten welke zichtbare signalen je website uitstraalt rond betaal- en contactpagina's? Bekijk ze via Marketing Scan. Die publieke scan toont alleen wat van buiten zichtbaar is en voert niet alle controles uit dit artikel uit.