Un fichier Word reçu par e-mail, une facture Excel à ouvrir d’urgence, un message qui demande d’« activer le contenu » : pendant des années, ce scénario a servi de porte d’entrée à de nombreuses cyberattaques. Si les défenses ont progressé, les macros Office restent un sujet central en cybersécurité, car elles combinent automatisation légitime, confiance des utilisateurs et possibilités d’exécution de code.
À l’origine, les macros ne sont pas malveillantes. Dans Microsoft Office, elles permettent d’automatiser des tâches répétitives dans Word, Excel, Access ou PowerPoint. Une entreprise peut s’en servir pour générer des rapports, mettre en forme des tableaux, calculer des indicateurs ou traiter de grands volumes de données. Leur intérêt repose sur un langage de script, souvent VBA, capable d’interagir avec le document et parfois avec le système.
C’est précisément cette puissance qui attire les cybercriminels. Une macro peut exécuter des instructions dès l’ouverture d’un fichier ou après une action de l’utilisateur. Dans un contexte légitime, cela simplifie le travail. Dans un contexte malveillant, cela peut servir à lancer une chaîne d’infection, télécharger un composant distant ou préparer l’installation d’un logiciel espion, d’un rançongiciel ou d’un cheval de Troie.
Les malwares exploitant les macros Office ne reposent donc pas sur une faille unique, mais sur une combinaison entre fonctionnalité autorisée et manipulation humaine. C’est ce qui les rend historiquement efficaces : ils n’ont pas toujours besoin de contourner une vulnérabilité technique complexe pour atteindre leur objectif.
Les fichiers Office circulent partout : devis, bons de commande, factures, CV, rapports, tableaux budgétaires, documents RH. Pour un attaquant, ce format est idéal, car il s’insère naturellement dans les échanges quotidiens. Un fichier joint en apparence banal peut ainsi paraître beaucoup moins suspect qu’un exécutable inconnu. Cette apparence de normalité constitue un levier de confiance très puissant.
Les campagnes de hameçonnage s’appuient souvent sur des thèmes réalistes : retard de paiement, livraison bloquée, demande urgente d’un supérieur, document administratif à vérifier. Le but est de pousser la victime à ouvrir le fichier, puis à activer les macros si celles-ci sont désactivées. Pendant longtemps, les documents affichaient des messages imitant des alertes officielles : « contenu protégé », « document créé avec une ancienne version », « cliquez pour afficher correctement ».
Cette mise en scène relève de l’ingénierie sociale. Elle ne vise pas seulement l’ordinateur, mais aussi les réflexes humains : urgence, curiosité, peur de commettre une erreur ou volonté de rendre service. Dans ce modèle, l’utilisateur devient l’étape clé de l’attaque, même si les outils techniques restent indispensables en arrière-plan.
Les macros offrent plusieurs avantages aux attaquants. Elles sont intégrées à des logiciels très répandus, peuvent être distribuées par e-mail et permettent d’exécuter des actions sans nécessiter l’installation préalable d’un programme visible. Elles servent souvent de première étape, chargée de préparer la suite de l’infection plutôt que de contenir tout le malware dans le document.
Dans de nombreux cas, le document piégé ne contient pas la menace finale. Il agit comme un déclencheur. Il peut récupérer ce que les spécialistes appellent la charge utile, c’est-à-dire ce que le code malveillant cherche réellement à exécuter une fois l’accès initial obtenu. Cette séparation complique parfois l’analyse, car le fichier reçu n’est qu’un maillon de la chaîne.
Les attaquants savent que les solutions de sécurité analysent les documents suspects. Pour échapper à la détection, ils modifient régulièrement le contenu des macros, changent les noms de variables, masquent certaines instructions ou fractionnent les étapes. Ces techniques d’obfuscation ne rendent pas forcément l’attaque plus sophistiquée, mais elles compliquent la lecture automatisée du code.
Les campagnes peuvent aussi évoluer très vite. Un même groupe peut changer de modèle de document, de serveur de téléchargement ou de formulation dans ses e-mails. Cette capacité d’adaptation rejoint une tendance plus large observée dans les logiciels malveillants modernes, notamment avec certaines familles capables de modifier leur apparence pour réduire les chances d’être reconnues par signature.
Les macros ont également été utilisées comme passerelles vers des attaques plus lourdes. Une première infection peut permettre le vol d’identifiants, le déplacement latéral dans un réseau ou le déploiement ultérieur d’un rançongiciel. Dans ce type de scénario, le fichier Office n’est pas l’objectif final : il sert de point d’entrée initial dans l’environnement de l’entreprise.
Face aux abus, Microsoft a progressivement renforcé la sécurité autour des macros. Les versions récentes d’Office bloquent davantage les macros provenant d’Internet, notamment lorsque le fichier conserve une marque indiquant son origine externe. Les administrateurs peuvent aussi appliquer des politiques de groupe pour interdire ou limiter l’exécution de macros dans les environnements professionnels.
Ces mesures ont réduit l’efficacité des campagnes classiques. Toutefois, elles n’ont pas éliminé le problème. Les attaquants cherchent d’autres chemins : archives compressées, fichiers hébergés sur des plateformes légitimes, documents demandant à être déplacés dans un emplacement de confiance, ou formats alternatifs. Ils exploitent aussi les organisations où les paramètres de sécurité restent permissifs pour des raisons de compatibilité métier.
Le risque dépend donc fortement du contexte. Une entreprise qui utilise de nombreuses macros internes sans gouvernance claire peut être plus exposée. À l’inverse, une organisation qui applique le principe du moindre privilège, signe ses macros et bloque celles provenant de sources non fiables réduit considérablement la surface d’attaque.
Un document malveillant n’est pas toujours facile à identifier visuellement, mais certains signaux doivent alerter. Un fichier inattendu, envoyé par un expéditeur inhabituel, accompagné d’un message pressant ou demandant d’activer les macros, mérite une vérification. Les formulations vagues, les fautes inhabituelles ou les demandes qui contournent les procédures internes sont aussi des indices utiles.
Le message « activer le contenu » ne signifie pas nécessairement qu’un document est dangereux, mais il doit déclencher une question simple : pourquoi ce fichier a-t-il besoin d’exécuter du code ? Pour une facture, un CV ou une note d’information, cette nécessité est rarement justifiée. La vigilance autour de l’activation des macros reste donc une mesure de base.
Dans les entreprises, la sensibilisation doit être concrète. Il ne suffit pas de dire aux salariés de « faire attention ». Il faut leur expliquer les situations à risque, les bons réflexes et les canaux de signalement. Un collaborateur qui doute doit pouvoir transmettre rapidement le fichier à l’équipe informatique, sans crainte d’être jugé. Cette culture du signalement limite les conséquences d’une erreur individuelle.
La première protection consiste à désactiver les macros par défaut, surtout lorsqu’elles proviennent d’Internet. Les macros réellement nécessaires devraient être limitées, documentées, signées numériquement et stockées dans des emplacements contrôlés. Cette approche permet de conserver les usages métiers légitimes tout en empêchant les scripts inconnus de s’exécuter librement.
Les équipes informatiques peuvent également renforcer la détection par l’analyse des pièces jointes, le filtrage des e-mails, la sandboxing des documents suspects et la surveillance des comportements anormaux. Une macro qui tente de lancer un processus inhabituel, de contacter un domaine récemment créé ou d’écrire dans certains répertoires peut révéler une tentative d’infection. La défense doit donc combiner prévention et détection.
Les mises à jour jouent aussi un rôle important. Même si les macros exploitent souvent des fonctionnalités légitimes, elles peuvent être associées à d’autres techniques visant des logiciels obsolètes. Maintenir Office, le système d’exploitation, l’antivirus et les outils de filtrage à jour réduit les opportunités offertes aux attaquants.
Les macros Office illustrent une réalité durable de la cybersécurité : les attaques les plus efficaces ne sont pas toujours les plus complexes. Elles exploitent souvent des usages ordinaires, des habitudes de travail et des décisions prises dans l’urgence. C’est pourquoi ce vecteur reste étudié, même si les protections modernes ont changé son niveau de menace.
Comprendre pourquoi les malwares utilisent les macros Office permet de mieux évaluer les risques liés aux documents bureautiques. Le problème ne se résume pas à Word ou Excel, mais à l’exécution de code dans un contexte de confiance. Entre configuration stricte, formation des utilisateurs et contrôle des fichiers entrants, les organisations disposent de leviers solides pour limiter ce type d’attaque. Le point essentiel à retenir est simple : une macro est un outil puissant, et cette puissance doit être strictement encadrée.
