Macro in Excel: cosa sono, quali rischi comportano e come aprire file XLSM in sicurezza

Ricevi un file che termina in .xlsm e, quando lo apri, Excel mostra una barra gialla o rossa che parla di macro e sicurezza. Premi il pulsante per abilitarle o chiudi il file? La risposta dipende da chi l’ha inviato, a cosa serve e cosa fa davvero il codice che contiene.

Qui vedrai cos’è una macro, quali formati possono contenerle, perché vengono usate così spesso per introdurre software dannoso e quali passaggi seguire per aprire un file XLSM senza mettere a rischio il tuo computer né i tuoi dati.

Cos’è una macro e a cosa serve

Una macro è un piccolo programma salvato nella cartella di lavoro che automatizza attività ripetitive. In Excel si scrivono quasi sempre in VBA (Visual Basic, Applications Edition), il linguaggio che vedrai aprendo l’editor con Alt + F11. Alcuni usi legittimi e molto comuni:

• Formattare un report con un solo clic.
• Importare dati da più file e consolidarli in un foglio.
• Generare fatture o documenti di trasporto in PDF a partire da un modello.
• Convalidare moduli interni prima dell’invio.

Il problema è che VBA non si limita al foglio di calcolo. Una macro può creare ed eliminare file, avviare altri programmi, collegarsi a Internet o scaricare eseguibili. Questa potenza è ciò che la rende utile e, allo stesso tempo, pericolosa.

Quali formati possono contenere macro

L’estensione del file è il primo indizio. Da Excel 2007 Microsoft ha separato i formati con e senza macro, così sai cosa aspettarti prima di aprire qualsiasi cosa:

Nota che anche il vecchio .xls accetta le macro, anche se il nome non lo dice. Esistono poi le macro di Excel 4.0 (XLM), un sistema precedente a VBA salvato in fogli speciali, a volte nascosti. Le versioni attuali di Excel le bloccano per impostazione predefinita.

Perché le macro sono un rischio

Per anni i documenti di Office con macro sono stati una via classica per diffondere malware via email. Lo schema tende a ripetersi:

1. Ricevi un’email che sembra normale: una fattura, un ordine, una busta paga o un avviso di spedizione.
2. L’allegato è un file Excel con il contenuto sfocato o vuoto e un messaggio che ti chiede di abilitare il contenuto per vederlo.
3. Una volta abilitata, la macro si esegue, di solito all’apertura della cartella di lavoro, e scarica o avvia un altro programma.

Segnali d’allarme da tenere presenti:

• Non aspettavi il file, oppure il mittente è sconosciuto o ha un indirizzo strano.
• Il documento insiste perché tu abiliti macro o contenuto per poterlo leggere. Un foglio normale non ne ha bisogno.
• Contiene dati semplici, come un listino prezzi, ma arriva in .xlsm o .xls.
• L’allegato è un archivio compresso protetto da password e l’email ti fornisce la password. È una tecnica per impedire all’antivirus del server di analizzarlo.

Come ti protegge Excel per impostazione predefinita

Visualizzazione protetta

I file scaricati o ricevuti come allegato si aprono in Visualizzazione protetta: puoi leggerli ma non modificarli, e nessun codice viene eseguito. È il momento ideale per guardare il contenuto senza rischi.

Macro disattivate con notifica

Se esci dalla visualizzazione protetta, l’impostazione abituale disattiva le macro e mostra una barra gialla di avviso di sicurezza con il pulsante Abilita contenuto. Finché non lo premi, le macro non vengono eseguite.

Blocco delle macro provenienti da Internet

In Microsoft 365 e nelle versioni recenti, i file contrassegnati come provenienti da Internet hanno le macro bloccate del tutto: compare una barra rossa di rischio per la sicurezza e l’avviso non offre più un pulsante per abilitarle. Se il file è affidabile, devi sbloccarlo in modo esplicito, come vedrai tra poco.

Come aprire un file XLSM in sicurezza

Segui quest’ordine ogni volta che ricevi una cartella di lavoro con macro:

1. Verifica la provenienza tramite un altro canale. Se un fornitore ti invia un .xlsm inatteso, chiamalo o scrivigli a parte prima di aprirlo.
2. Analizza il file con il tuo antivirus prima di aprirlo.
3. Aprilo senza abilitare nulla. Resta nella visualizzazione protetta o con le macro disattivate e controlla se il contenuto ha senso.
4. Guarda il codice con Alt + F11 (spiegato più sotto) per capire cosa fa la macro.
5. Sbloccalo solo se ti fidi: chiudi Excel, fai clic destro sul file in Esplora file di Windows, scegli Proprietà e, nella scheda Generale, seleziona Annulla blocco.
6. Abilita il contenuto solo dopo tutti questi passaggi.

Se ti servono solo i dati, non abilitare nulla: copia ciò che ti interessa o salva una copia con File › Salva con nome › Cartella di lavoro di Excel (*.xlsx). Excel ti avviserà che il progetto VBA non può essere salvato in una cartella di lavoro senza macro; conferma e otterrai un file pulito. Un’altra possibilità è aprirlo in Excel per il Web, che non esegue macro VBA.

Controllare il codice senza eseguirlo

Con le macro disattivate, premi Alt + F11 e scorri i moduli nel riquadro del progetto, compresi ThisWorkbook e ogni foglio. Diffida se trovi:

• Routine che partono da sole all’apertura, come Workbook_Open o Auto_Open.
• Chiamate a Shell, CreateObject, PowerShell o URLDownloadToFile.
• Stringhe lunghe senza senso apparente, segno di codice offuscato.
• Un progetto VBA protetto da password in un file che non dovrebbe avere nulla da nascondere.

Regola il Centro protezione

Le impostazioni delle macro si trovano in File › Opzioni › Centro protezione › Impostazioni Centro protezione › Impostazioni macro. Alcuni consigli:

• Mantieni l’opzione che disattiva le macro VBA con notifica. È l’equilibrio ragionevole per la maggior parte degli utenti.
• Non scegliere mai di abilitare tutte le macro: qualsiasi file potrebbe eseguire codice senza chiedertelo.
• Se usi ogni giorno macro tue, salvale in una cartella aggiunta ai Percorsi attendibili e non rendere attendibili cartelle generiche come Download.
• In azienda, le macro firmate digitalmente da un autore attendibile sono il modo più sicuro per distribuire automazioni.

Errore comune: abilitare le macro di un file perché la volta precedente era sicuro. Ogni file è diverso, anche se arriva dallo stesso mittente, perché il suo account email potrebbe essere stato compromesso.

Condividi i tuoi file senza rischi inutili

Quando sei tu a inviare il file, evita problemi al destinatario: se le macro non gli sono indispensabili, invia una copia in .xlsx. Se hai vecchie cartelle di lavoro in .xls, convertirle con il nostro strumento per passare da XLS a XLSX ti lascia un formato che non può eseguire macro. E se il file contiene dati sensibili, puoi aggiungere una password di apertura gratis dal browser. Ricordati di inviare la password tramite un canale diverso da quello del file e di avvisare prima il destinatario, così non lo scambierà per un allegato sospetto.

Conclusione

Le macro sono un ottimo strumento per automatizzare il lavoro, ma anche un vettore di attacco ben noto. La regola pratica è semplice: non abilitare il contenuto di un file che non aspettavi, diffida di qualsiasi documento che te lo chieda per essere visualizzato correttamente e, se ti servono solo i dati, salvali in .xlsx. Con le impostazioni predefinite di Excel e un po’ di buon senso, aprire un XLSM smette di essere una scommessa.

Domande frequenti