Macros no Excel: o que são, quais os riscos e como abrir arquivos XLSM com segurança

Você recebe um arquivo terminado em .xlsm e, ao abri-lo, o Excel mostra uma barra amarela ou vermelha falando de macros e segurança. Clica no botão para habilitá-las ou fecha o arquivo? A resposta depende de quem enviou, para que ele serve e o que o código dentro dele realmente faz.

Aqui você vai ver o que é uma macro, quais formatos podem tê-las, por que elas são usadas com tanta frequência para espalhar software malicioso e quais passos seguir para abrir um arquivo XLSM sem colocar em risco o seu computador nem os seus dados.

O que é uma macro e para que serve

Uma macro é um pequeno programa salvo dentro da pasta de trabalho que automatiza tarefas repetitivas. No Excel, elas quase sempre são escritas em VBA (Visual Basic for Applications), a linguagem que você verá se abrir o editor com Alt + F11. Alguns usos legítimos e muito comuns:

• Formatar um relatório com um único clique.
• Importar dados de vários arquivos e consolidá-los em uma planilha.
• Gerar faturas ou romaneios em PDF a partir de um modelo.
• Validar formulários internos antes de enviá-los.

O problema é que o VBA não se limita à planilha. Uma macro pode criar e excluir arquivos, abrir outros programas, se conectar à internet ou baixar executáveis. Esse poder é o que a torna útil e, ao mesmo tempo, perigosa.

Quais formatos podem conter macros

A extensão do arquivo é a primeira pista. Desde o Excel 2007, a Microsoft separou os formatos com e sem macros para que você saiba o que esperar antes de abrir qualquer coisa:

Repare que o antigo .xls também aceita macros, embora o nome não indique isso. E existem as macros do Excel 4.0 (XLM), um sistema anterior ao VBA salvo em planilhas especiais, às vezes ocultas. As versões atuais do Excel as bloqueiam por padrão.

Por que as macros são um risco

Durante anos, documentos do Office com macros foram uma via clássica para distribuir malware por e-mail. O esquema costuma se repetir:

1. Você recebe um e-mail que parece normal: uma nota fiscal, um pedido, um holerite ou um aviso de entrega.
2. O anexo é um arquivo do Excel com o conteúdo borrado ou vazio e uma mensagem pedindo que você habilite o conteúdo para vê-lo.
3. Ao habilitar, a macro é executada, normalmente na abertura da pasta de trabalho, e baixa ou inicia outro programa.

Sinais de alerta que você deve levar em conta:

• Você não esperava o arquivo, ou o remetente é desconhecido ou tem um endereço estranho.
• O documento insiste para que você habilite macros ou conteúdo para conseguir lê-lo. Uma planilha normal não precisa disso.
• São dados simples, como uma lista de preços, mas o arquivo chega em .xlsm ou .xls.
• O anexo vem compactado com senha e o próprio e-mail informa a senha. É uma técnica para impedir que o antivírus do servidor o analise.

Como o Excel protege você por padrão

Modo de Exibição Protegido

Arquivos baixados ou recebidos como anexo abrem no Modo de Exibição Protegido: você pode lê-los, mas não editá-los, e nenhum código é executado. É o momento ideal para olhar o conteúdo sem risco.

Macros desabilitadas com notificação

Se você sair do modo protegido, a configuração habitual desabilita as macros e mostra uma barra amarela de aviso de segurança com o botão Habilitar Conteúdo. Enquanto você não clicar nele, as macros não são executadas.

Bloqueio de macros da internet

No Microsoft 365 e nas versões recentes, os arquivos marcados como vindos da internet têm as macros totalmente bloqueadas: aparece uma barra vermelha de risco de segurança e o próprio aviso já não oferece botão para habilitá-las. Se o arquivo for confiável, você precisa desbloqueá-lo de forma explícita, como verá a seguir.

Como abrir um arquivo XLSM com segurança

Siga esta ordem sempre que receber uma pasta de trabalho com macros:

1. Confirme a origem por outro canal. Se um fornecedor enviar um .xlsm que você não esperava, ligue ou escreva para ele separadamente antes de abrir.
2. Verifique o arquivo com o seu antivírus antes de abri-lo.
3. Abra sem habilitar nada. Fique no modo protegido ou com as macros desabilitadas e veja se o conteúdo faz sentido.
4. Olhe o código com Alt + F11 (explicado abaixo) para saber o que a macro faz.
5. Desbloqueie só se confiar nele: feche o Excel, clique com o botão direito no arquivo no Explorador de Arquivos do Windows, escolha Propriedades e, na guia Geral, marque Desbloquear.
6. Habilite o conteúdo somente depois de tudo isso.

Se você só precisa dos dados, não habilite nada: copie o que interessa ou salve uma cópia em Arquivo › Salvar como › Pasta de Trabalho do Excel (*.xlsx). O Excel avisará que o projeto VBA não pode ser salvo em uma pasta de trabalho sem macros; aceite e você terá um arquivo limpo. Outra opção é abri-lo no Excel para a Web, que não executa macros VBA.

Revisar o código sem executá-lo

Com as macros desabilitadas, pressione Alt + F11 e revise os módulos no painel de projetos, incluindo ThisWorkbook e cada planilha. Desconfie se encontrar:

• Procedimentos que rodam sozinhos na abertura, como Workbook_Open ou Auto_Open.
• Chamadas a Shell, CreateObject, PowerShell ou URLDownloadToFile.
• Textos longos sem sentido aparente, sinal de código ofuscado.
• Um projeto VBA protegido por senha em um arquivo que não deveria ter nada a esconder.

Ajuste a Central de Confiabilidade

As configurações de macro ficam em Arquivo › Opções › Central de Confiabilidade › Configurações da Central de Confiabilidade › Configurações de Macro. Algumas recomendações:

• Mantenha a opção de desabilitar macros VBA com notificação. É o equilíbrio razoável para a maioria dos usuários.
• Nunca escolha habilitar todas as macros: qualquer arquivo poderia executar código sem perguntar.
• Se você usa suas próprias macros todos os dias, guarde-as em uma pasta incluída nos Locais Confiáveis e não marque como confiáveis pastas genéricas como Downloads.
• Em empresas, macros assinadas digitalmente por um editor confiável são a forma mais segura de distribuir automações.

Erro comum: habilitar macros em um arquivo porque da outra vez deu tudo certo. Cada arquivo é diferente, mesmo vindo do mesmo remetente, porque a conta de e-mail dele pode ter sido invadida.

Compartilhe seus arquivos sem riscos desnecessários

Quando é você quem envia o arquivo, evite problemas para o destinatário: se as macros não forem indispensáveis para ele, mande uma cópia em .xlsx. Se você tem pastas de trabalho antigas em .xls, convertê-las com a nossa ferramenta para converter XLS em XLSX deixa você com um formato que não pode executar macros. E se o arquivo tiver dados sensíveis, você pode adicionar uma senha de abertura de graça pelo navegador. Lembre-se de enviar essa senha por um canal diferente do arquivo e de avisar o destinatário antes, para que ele não o confunda com um anexo suspeito.

Conclusão

As macros são uma ótima ferramenta para automatizar trabalho, mas também um vetor de ataque bem conhecido. A regra prática é simples: não habilite conteúdo em um arquivo que você não esperava, desconfie de qualquer documento que peça isso para ser exibido corretamente e, se só precisar dos dados, salve-os em .xlsx. Com as configurações padrão do Excel e um pouco de critério, abrir um XLSM deixa de ser uma aposta.

Perguntas frequentes