I ristoranti sono da anni tra i bersagli più frequenti del malware per casse — non perché gli hacker ce l'abbiano con la ristorazione, ma perché è un obiettivo facile.
Catene come Chipotle, Sonic Drive-In e Checkers & Rally's sono state colpite negli ultimi anni da malware installato sui loro sistemi di cassa, in alcuni casi rimasto inosservato per mesi, con milioni di numeri di carta rubati come conseguenza. Secondo il più recente Data Breach Investigations Report di Verizon, una terza parte — un fornitore, un partner per la cassa o per il software — è ormai coinvolta nel 30% di tutte le violazioni di dati, quasi il doppio rispetto all'anno precedente. E nel 22% dei casi il punto di ingresso è stata una password rubata o debole. Non serve essere una catena internazionale per finire nel mirino: la maggior parte degli attacchi è automatizzata o passa da un unico fornitore vulnerabile che serve decine di ristoranti insieme. Questo articolo ti offre 9 passi concreti, in gran parte gratuiti o a basso costo, per mettere in sicurezza il tuo ristorante:
- Separa il wifi degli ospiti — mai sulla stessa rete della cassa.
- Metti in sicurezza il sistema di cassa — aggiornamenti, e diffida di ogni "tecnico" non annunciato.
- Scegli un fornitore di pagamenti conforme a PCI-DSS — e non conservare mai tu stesso i dati delle carte.
- Usa password solide e l'autenticazione a due fattori — ovunque, non solo alla cassa.
- Riconosci phishing e truffe sulle fatture — il costo più sottovalutato nella ristorazione.
- Limita gli accessi in base al ruolo — e revocali subito a fine rapporto.
- Verifica i tuoi fornitori — la loro debolezza diventa la tua violazione dei dati.
- Fai backup e testa il piano di ripristino — prima che la cassa si blocchi davvero.
- Conosci il tuo obbligo di notifica — il GDPR ti dà 72 ore, non un giorno di più.
Perché la ristorazione è un bersaglio così ambito
Un ristorante elabora ogni giorno decine o centinaia di transazioni con carta, conserva dati di prenotazione e contatti degli ospiti e spesso lavora con hardware di cassa datato o poco manutenuto, che resta invariato per anni. Aggiungi un alto turnover di personale e competenze IT limitate, e ottieni esattamente il profilo che gli aggressori cercano: molti dati preziosi, poca resistenza. A differenza di un attacco mirato a una grande banca, la maggior parte del malware per casse è opportunistico — cerca automaticamente sistemi vulnerabili, che il tuo locale abbia dodici o centoventi tavoli non fa alcuna differenza.
La buona notizia: la maggior parte delle misure qui sotto non costa denaro, solo dieci minuti di attenzione. La cybersicurezza nella ristorazione raramente richiede un costoso servizio IT esterno — è soprattutto una questione di chiudere le falle più ovvie.
9 passi verso un ristorante sicuro dal punto di vista informatico
1. Separa il wifi degli ospiti dalla rete della cassa
L'errore più comune — e più sottovalutato — è usare lo stesso router per tutto: la cassa, il pc dell'ufficio con la contabilità e il wifi che offri gratuitamente agli ospiti. Nel momento in cui un ospite (o chiunque abbia ricevuto la password da un ospite) è su quella rete, nel peggiore dei casi può intercettare il traffico diretto verso il tuo sistema di cassa.
- Crea due reti separate: una per gli ospiti, una per cassa e back-office, ciascuna con una propria password. La maggior parte dei router di fascia media supporta questa configurazione tramite un "SSID ospiti" o una VLAN, spesso con un'unica impostazione.
- Cambia regolarmente la password degli ospiti, ad esempio ogni mese, così una vecchia password ampiamente diffusa non continua a circolare.
- Collega il tuo sistema di ordinazione tramite QR alla rete ospiti, mai a quella della cassa — anche se sembra più pratico.
Questa singola modifica — due reti anziché una — chiude la strada più usata attraverso cui un dispositivo di un ospite infetto potrebbe mai arrivare alla tua cassa.
2. Metti in sicurezza il sistema di cassa stesso
Quando scegli un sistema di cassa guardi di solito alle integrazioni e ai costi di transazione — ma è almeno altrettanto importante quanto sia (e resti) sicuro. Alcune regole pratiche:
- Installa gli aggiornamenti software della cassa non appena disponibili; un software di cassa obsoleto è il bersaglio più facile che esista.
- Usa il pc della cassa esclusivamente per la cassa — non per navigare, controllare la posta o ascoltare musica.
- Diffida di ogni "tecnico" inatteso. Il gruppo di hacker brasiliano Prilex è diventato tristemente noto a livello mondiale per un malware da cassa capace persino di clonare transazioni chip-e-pin — l'infezione parte tipicamente da una telefonata di un presunto tecnico che insiste per "aggiornare" il software della cassa e chiede di installare un programma come AnyDesk per l'accesso remoto. In caso di dubbio, richiama sempre il numero ufficiale del tuo fornitore, mai il numero fornito da chi ti ha chiamato.
3. Scegli un fornitore di pagamenti conforme a PCI-DSS
Ogni soggetto che elabora pagamenti con carta deve rispettare il PCI-DSS, lo standard di sicurezza dei circuiti delle carte. La conseguenza pratica per te: non far mai transitare né conservare i dati delle carte nei tuoi sistemi se non è strettamente necessario.
- Scegli un terminale o un fornitore di pagamenti che tokenizzi i dati della carta — la tua cassa non vede mai il numero di carta reale, solo un codice sostitutivo privo di valore.
- Non conservare mai tu stesso i numeri di carta in fogli di calcolo, e-mail o appunti "per sicurezza".
- Se non sei conforme al PCI-DSS e si verifica comunque una violazione, puoi essere ritenuto responsabile delle transazioni fraudolente — il costo della non conformità supera quasi sempre quello di un fornitore a norma.
I numeri che fanno la differenza
Perché la rapidità e l'igiene di base pesano più di un costoso contratto di sicurezza.
4. Password solide e autenticazione a due fattori, ovunque
Un'unica password condivisa e datata ("cassa1234"), conosciuta da ogni dipendente che sia mai passato di lì, è forse il rischio invisibile più grande nella ristorazione. Quando te ne accorgi, dieci ex dipendenti la conoscono ancora.
- Attiva l'autenticazione a due fattori ovunque possibile: sull'account della cassa, sul tuo sistema di prenotazione, sul tuo Profilo dell'attività su Google e sulla tua e-mail aziendale. Nella maggior parte dei casi è gratis e richiede un solo clic in più al login.
- Assegna a ogni dipendente un login personale invece di un unico account condiviso — così sai anche chi ha fatto cosa se qualcosa va storto.
- Usa un gestore di password per gli account aziendali invece di riutilizzare la stessa password ovunque.
5. Riconosci phishing e truffe sulle fatture
La maggior parte delle intrusioni non inizia con codice sofisticato, ma con un'e-mail o una telefonata che sfrutta la fiducia. Includi questo punto esplicitamente nella formazione del personale:
- Truffa sulle fatture: un "fornitore" scrive che il numero di conto è cambiato. Conferma sempre telefonicamente ogni modifica ai dati di pagamento, usando un numero che già conoscevi — mai quello indicato nell'e-mail.
- Truffa del CEO: un'e-mail urgente "del titolare" che chiede di acquistare buoni regalo o effettuare rapidamente un bonifico. Concordate in squadra che richieste simili vengano sempre confermate a voce.
- Finte e-mail "del tuo fornitore di cassa" o di "Google" che chiedono di accedere tramite un link. In caso di dubbio, vai sempre direttamente al sito ufficiale invece di cliccare sul link.
6. Limita gli accessi in base al ruolo — e revocali subito
Non ogni dipendente ha bisogno di diritti da amministratore sulla cassa, sul sistema di prenotazione o sui social media. Lavora per ruoli: un cameriere può creare ordini, ma non deve necessariamente poter esportare report o modificare le impostazioni.
- Assegna diritti amministrativi completi solo al titolare e a un numero limitato di responsabili.
- Revoca l'accesso immediatamente quando qualcuno lascia l'azienda — è il passo più dimenticato di tutto questo elenco, e uno dei più rischiosi. Inseriscilo di default nella checklist di offboarding, insieme al resto della gestione del personale.
- Controlla almeno due volte all'anno chi ha ancora accesso a cosa, e rimuovi ciò che non serve più.
7. Verifica i tuoi fornitori: la loro debolezza diventa la tua violazione dei dati
Il tuo sistema di cassa, la piattaforma di ordini online e i tuoi strumenti di automazione girano spesso su software di terze parti. Se quel fornitore viene violato, a rimetterci sei tu. Dall'ottobre 2024 la direttiva europea NIS2 alza il livello di sicurezza richiesto alle medie e grandi imprese in numerosi settori — i singoli ristoranti restano di solito fuori dall'ambito diretto (la soglia è di 50 dipendenti o 10 milioni di euro di fatturato), ma il tuo fornitore di cassa, prenotazioni e pagamenti spesso rientra proprio in questo ambito. Chiedi quindi a ogni nuovo fornitore:
- Siete conformi alla NIS2 o alla ISO 27001, o potete almeno dimostrare come vengono protetti i dati dei clienti?
- Con quale rapidità vengono avvisati i clienti in caso di incidente dal vostro lato?
- Dove e per quanto tempo vengono conservati i nostri dati, e chi vi ha accesso?
Questo si collega direttamente al modo in cui devi comunque guardare in modo critico a come tratti i dati dei clienti ai sensi del GDPR: la responsabilità sui dati dei tuoi ospiti non si esaurisce con il fornitore che li conserva tecnicamente.
8. Fai backup e testa il piano di ripristino
Il ransomware raramente fa notizia nella ristorazione come accade negli ospedali, ma l'effetto è altrettanto dirompente: una cassa bloccata in un venerdì sera affollato significa perdita immediata di fatturato e ospiti frustrati alla porta.
- Effettua backup regolari dei dati di prenotazione, dei dati dei clienti e delle configurazioni — automaticamente, non manualmente "quando ci pensi".
- Conserva almeno un backup separato dalla rete principale, così un ransomware che cripta i tuoi sistemi non porta via anche il backup.
- Verifica almeno una volta all'anno di poter davvero ripristinare un backup — un backup mai testato è un'ipotesi, non una garanzia.
9. Conosci il tuo obbligo di notifica e valuta un'assicurazione
Se tratti dati personali di ospiti o dipendenti — e lo fa praticamente ogni ristorante, dalle prenotazioni ai fascicoli del personale — il GDPR si applica per intero, a prescindere dalle tue dimensioni. In caso di violazione grave dei dati:
- Devi segnalarla entro 72 ore dalla scoperta all'autorità di protezione dei dati.
- Devi avvisare gli ospiti o i dipendenti coinvolti se il rischio per loro è elevato.
- Le sanzioni possono arrivare fino al 4% del fatturato annuo mondiale — nella pratica le piccole attività di ristorazione se la cavano quasi sempre con importi molto più contenuti, ma l'obbligo di notifica in sé vale senza eccezioni.
Un'assicurazione cyber a costi contenuti copre spesso non solo il danno diretto, ma anche l'indagine forense e l'assistenza legale dopo un incidente — chiedi informazioni allo stesso assicuratore con cui hai già le altre polizze. Documenta inoltre su un solo foglio chi devi chiamare (fornitore, assicuratore, eventuale supporto IT) nel momento in cui qualcosa va storto: nel cuore della notte non vuoi doverti mettere a cercare un numero di telefono.
Errori comuni che minano la cybersicurezza
- Far girare cassa, ufficio e wifi degli ospiti sulla stessa identica rete.
- Usare un'unica password condivisa che non cambia mai, nemmeno dopo il turnover del personale.
- Concedere senza esitazione l'accesso remoto alla cassa a un "tecnico" non annunciato.
- Annotare o conservare manualmente i dati delle carte degli ospiti "per sicurezza".
- Revocare l'accesso ai dipendenti usciti solo quando qualcuno se ne accorge per caso.
- Non testare mai se un backup può davvero essere ripristinato.
Conclusione: la sicurezza come igiene di base, non come lusso
La cybersicurezza nella ristorazione richiede raramente un grande investimento. È una serie di piccole abitudini strutturali: una rete ospiti separata, l'autenticazione a due fattori, uno sguardo critico su ogni telefonata inattesa e accessi revocati subito quando qualcuno lascia l'azienda. Inizia questa settimana con i passi gratuiti — separare le reti, attivare l'autenticazione a due fattori, informare il team sul phishing — e pianifica il resto in occasione del prossimo confronto con i tuoi fornitori.
Il prezzo di queste poche ore di attenzione è irrisorio rispetto a quanto costa una violazione dei dati in termini di reputazione, sanzioni e fiducia degli ospiti, che si aspettavano semplicemente che i loro dati fossero al sicuro da te.