Macros en Excel: qué son, qué riesgos tienen y cómo abrir archivos XLSM con seguridad

Te llega un archivo terminado en .xlsm y, al abrirlo, Excel muestra una barra amarilla o roja que habla de macros y de seguridad. ¿Pulsas el botón para habilitarlas o cierras el archivo? La respuesta depende de quién lo envía, para qué sirve y qué hace el código que contiene.

Aquí verás qué es una macro, qué formatos pueden llevarlas, por qué se usan a menudo para colar software malicioso y qué pasos seguir para abrir un archivo XLSM sin poner en riesgo tu equipo ni tus datos.

Qué es una macro y para qué se usa

Una macro es un pequeño programa guardado dentro del libro que automatiza tareas repetitivas. En Excel se escriben casi siempre en VBA (Visual Basic para Aplicaciones), el lenguaje que verás si abres el editor con Alt + F11. Algunos usos legítimos y muy habituales:

• Dar formato a un informe con un solo clic.
• Importar datos de varios archivos y consolidarlos en una hoja.
• Generar facturas o albaranes en PDF a partir de una plantilla.
• Validar formularios internos antes de enviarlos.

El problema es que VBA no se limita a la hoja de cálculo. Una macro puede crear y borrar archivos, abrir otros programas, conectarse a Internet o descargar ejecutables. Esa potencia es lo que la hace útil y, a la vez, peligrosa.

Qué formatos pueden contener macros

La extensión del archivo es la primera pista. Desde Excel 2007, Microsoft separó los formatos con y sin macros para que sepas qué esperar antes de abrir nada:

Fíjate en que el antiguo .xls también admite macros, aunque su nombre no lo indique. Y existen las macros de Excel 4.0 (XLM), un sistema anterior a VBA que se guarda en hojas especiales, a veces ocultas. Las versiones actuales de Excel las bloquean por defecto.

Por qué las macros son un riesgo

Durante años, los documentos de Office con macros han sido una vía clásica para distribuir malware por correo. El esquema suele repetirse:

1. Recibes un correo que parece normal: una factura, un pedido, una nómina o un aviso de envío.
2. El adjunto es un Excel cuyo contenido aparece borroso o vacío, con un mensaje que te pide habilitar el contenido para verlo.
3. Al habilitarlo, la macro se ejecuta, normalmente al abrir el libro, y descarga o lanza otro programa.

Señales de alarma que deberías tener en cuenta:

• No esperabas el archivo, o el remitente es desconocido o tiene una dirección extraña.
• El documento insiste en que habilites macros o contenido para poder leerlo. Una hoja normal no lo necesita.
• Se trata de datos simples, como una lista de precios, pero llega en .xlsm o .xls.
• El adjunto viene comprimido con contraseña y el correo te da la clave. Es una técnica para que el antivirus del servidor no pueda analizarlo.

Cómo te protege Excel por defecto

Vista protegida

Los archivos descargados o recibidos como adjunto se abren en Vista protegida: puedes leerlos, pero no editarlos, y no se ejecuta ningún código. Es el momento ideal para mirar el contenido sin riesgo.

Macros deshabilitadas con notificación

Si sales de la vista protegida, la configuración habitual deshabilita las macros y muestra una barra amarilla de advertencia de seguridad con el botón Habilitar contenido. Mientras no lo pulses, las macros no se ejecutan.

Bloqueo de macros de Internet

En Microsoft 365 y en las versiones recientes, los archivos que llevan la marca de procedencia de Internet tienen las macros bloqueadas por completo: aparece una barra roja de riesgo de seguridad y ya no hay botón para habilitarlas desde el propio aviso. Si el archivo es de confianza, tienes que desbloquearlo de forma explícita, como verás a continuación.

Cómo abrir un archivo XLSM con seguridad

Sigue este orden siempre que recibas un libro con macros:

1. Verifica el origen por otro canal. Si un proveedor te envía un .xlsm que no esperabas, llámalo o escríbele aparte antes de abrirlo.
2. Analiza el archivo con tu antivirus antes de abrirlo.
3. Ábrelo sin habilitar nada. Quédate en la vista protegida o con las macros deshabilitadas y revisa si el contenido tiene sentido.
4. Mira el código con Alt + F11 (explicado abajo) para saber qué hace la macro.
5. Desbloquéalo solo si confías en él: cierra Excel, haz clic derecho sobre el archivo en el Explorador de Windows, elige Propiedades y, en la pestaña General, marca Desbloquear.
6. Habilita el contenido solo después de todo lo anterior.

Si únicamente necesitas los datos, no habilites nada: copia lo que te interesa o guarda una copia con Archivo › Guardar como › Libro de Excel (*.xlsx). Excel te avisará de que el proyecto de VBA no se puede guardar en un libro sin macros; acepta y obtendrás un archivo limpio. Otra opción es abrirlo en Excel para la web, que no ejecuta macros de VBA.

Revisar el código sin ejecutarlo

Con las macros deshabilitadas, pulsa Alt + F11 y revisa los módulos del panel de proyectos, incluidos ThisWorkbook y cada hoja. Desconfía si encuentras:

• Procedimientos que se ejecutan solos al abrir, como Workbook_Open o Auto_Open.
• Llamadas a Shell, CreateObject, PowerShell o URLDownloadToFile.
• Textos largos sin sentido aparente, señal de código ofuscado.
• Un proyecto de VBA protegido con contraseña en un archivo que no debería tener nada que ocultar.

Ajusta el Centro de confianza

La configuración de macros está en Archivo › Opciones › Centro de confianza › Configuración del Centro de confianza › Configuración de macros. Algunas recomendaciones:

• Mantén la opción de deshabilitar las macros de VBA con notificación. Es el equilibrio razonable para la mayoría de usuarios.
• No elijas nunca habilitar todas las macros: cualquier archivo podría ejecutar código sin preguntarte.
• Si usas a diario tus propias macros, guárdalas en una carpeta incluida en Ubicaciones de confianza y no marques como de confianza carpetas generales como Descargas.
• En empresas, las macros firmadas digitalmente por un editor de confianza son la forma más segura de distribuir automatizaciones.

Error habitual: habilitar macros en un archivo porque otra vez fue seguro. Cada archivo es distinto, aunque venga del mismo remitente, porque su cuenta de correo podría estar comprometida.

Comparte tus archivos sin riesgos innecesarios

Cuando seas tú quien envía el archivo, ahorra problemas al destinatario: si las macros no son imprescindibles para él, envía una copia en .xlsx. Si tienes libros antiguos en .xls, convertirlos con nuestra herramienta para pasar de XLS a XLSX te deja un formato que no puede ejecutar macros. Y si el archivo contiene datos sensibles, puedes añadirle una contraseña de apertura gratis desde el navegador. Recuerda enviar esa contraseña por un canal distinto al del archivo y avisar antes al destinatario, para que no lo confunda con un adjunto sospechoso.

Conclusión

Las macros son una herramienta excelente para automatizar trabajo, pero también un vector de ataque bien conocido. La regla práctica es sencilla: no habilites contenido en un archivo que no esperabas, desconfía de cualquier documento que te pida hacerlo para verse bien y, si solo necesitas los datos, guárdalos en .xlsx. Con la configuración por defecto de Excel y un poco de criterio, abrir un XLSM deja de ser una apuesta.

Preguntas frecuentes