Office データの VBA はブロックされるの？ されないの？ Part 1

今年の2月。インターネットを介してダウンロードされた VBA マクロを含む Office の各データにおいて、これらを開く際、VBA マクロの機能をデフォルトでブロックすると TechCommunity の Microsoft 365 Blog の中で発表されました。

・Helping users stay safe: Blocking internet macros by default in Office

現在上記のブログの中では、その後の変更内容などもあって、これがその後どう変わってきているかについても、ご覧いただければお分かりいただけると思います。

さてこれが発表された当初、「We’re introducing a default change for five Office apps that run macros.」と始まり、「VBA macros obtained from the internet will now be blocked by default.」（「インターネットから取得したVBAマクロは、デフォルトでブロックされるようになりました」）とはじまっていました。

これにより、既定でブロックされることがスタートしました。まずは、Part 1 ではその経緯を振り返ってみます。

【VBA マクロをブロックしないといけない背景】

ではその背景をブログからかいつまんでご紹介しましょう。

-- セキュリティの問題：

そもそも VBA マクロといった機能は、非常に便利な反面悪用されるケースもあり、セキュリティ面での問題もありました。ソーシャルエンジニアリングによってユーザーを騙して悪意のあるコードを実行させる...　何てこともできてしまうからです。

マルウェアを配布するなどといったサイバー攻撃にも悪用されてしまうケースも多かったわけです。"Emotet" の被害が拡大したことは記憶に新しいこと。もちろん現在もまだまだ被害がなくなっているわけではありません。世界中に猛威を振るっている "Emotet" はその典型かもしれませんね。

こうした問題を踏まえてブログの中でも、「"We will continue to adjust our user experience for macros, as we’ve done here, to make it more difficult to trick users into running malicious code via social engineering while maintaining a path for legitimate macros to be enabled where appropriate via Trusted Publishers and/or Trusted Locations.”」と謳っているように、正当なマクロを有効にする道を維持するために、調整し続けていく必要がありました。

-- その対象は？：

ブログによれば、「Windowsを実行しているデバイス上のOfficeにのみ」とあり、次のアプリケーションにのみ影響するとあります。

• Access
• Excel
• PowerPoint
• Visio
• Word

とりあえず Mac は？と思いましたが、こちらは対象外でした。

またこの変更は、2022年4月上旬の Current Channel (Preview) を皮切りに、Ver.2203 で展開される予定となっていました。その後、Current Channel、Monthly Enterprise Channel、Semi-Annual Enterprise Channel といった他のアップデートチャネルでも、この変更が順次適用される予定でした。

さらに今後、Office LTSC、Office 2021、Office 2019、Office 2016、Office 2013にも本変更を行う予定とあります。

こうしてスタートしたデフォルトブロックの設定。その後これが、一転、デフォルトではブロックしない...そんな形に変わっていくわけです。

Part 2 では、その後の経緯、およびその影響についてご紹介いたします。

＜参照＞

・Helping users stay safe: Blocking internet macros by default in Office

・EMOTET 概要から対策まで／トレンドマイクロ

・「Emotet（エモテット）」と呼ばれるウイルスへの感染を狙うメールについて／IPA