PENTESTY · ANÁLISE EDITORIAL · · 4 min de leitura
Excel e freelancers: quem autorizou o que a planilha pede para executar?
Uma conversa profissional pode entregar um arquivo que pede ações além da tarefa. O fluxo de trabalho precisa preservar essa fronteira sem depender da insistência do remetente.
Por Pentesty
O número da acusação e o período investigado
Em comunicado de 1º de setembro de 2026, o DOJ descreveu uma acusação de distribuição de malware por anexos do Excel a aproximadamente 80 mil usuários de uma plataforma de trabalho freelancer, entre 2016 e 2017. Esse é o alcance alegado na acusação, sem comprovar individualmente 80 mil infecções. O comunicado relata extradição e apresentação judicial em 2026, não uma nova campanha nesse ano. As acusações dependem de prova; a plataforma não foi identificada.
A tarefa precisa de dados ou de uma automação?
Imagine alguém contratado para revisar produtos, que recebe uma planilha pedindo habilitar um recurso para exibir requisitos. Antes de uma exceção, o responsável deve explicar se a tarefa exige leitura de dados ou uma automação avaliada. O pedido do remetente não decide isso sozinho.
Combine os formatos aceitos, o canal de entrega e a forma de confirmar alterações inesperadas. Ofereça um caminho para solicitar uma versão compatível com a atividade, sem código ativo quando ele não for necessário. A segurança centrada na tarefa real ajuda a avaliar se a alternativa permite trabalhar, em vez de apenas entregar uma instrução difícil de cumprir.
Confira a política no ambiente que realmente abre o arquivo
A documentação da Microsoft sobre macros vindas da internet descreve um comportamento para Office no Windows, com diferenças de versão, origem do arquivo e decisões de confiança. Esse comportamento não deve ser generalizado para Mac, aplicativos móveis ou Office na web. O texto também mostra que locais confiáveis e outras exceções influenciam a execução. Verifique o ambiente utilizado, sem presumir bloqueio universal.
Registre aplicativo, versão, equipamento gerenciado e caminho de recebimento. Uma política definida para empregados pode não alcançar a estação pessoal de um prestador. Decida quais entregas devem permanecer num ambiente administrado pela empresa e como o trabalho externo recebe suporte. Relacione essa decisão ao planejamento do ciclo de vida do Microsoft 365, pois mudar a versão também pede nova verificação do fluxo.
Ensaie uma entrega comum e uma solicitação de exceção
Use contas de teste e uma planilha criada pela equipe, sem material da campanha. Se o escopo incluir macros, um especialista pode preparar uma ação inofensiva que apenas mostre um marcador, sem rede, credenciais ou dados pessoais. Combine o resultado esperado antes do exercício e acompanhe o recebimento até a conclusão da tarefa. Não instrua participantes a remover proteções para fazer a avaliação.
- Entrega: registre canal, arquivo de teste e ambiente em que a equipe tentou abrir o conteúdo.
- Decisão: confira o resultado da política e quem pode avaliar uma exceção solicitada.
- Trabalho: verifique se a pessoa consegue concluir a tarefa pelo caminho aprovado sem executar a ação não autorizada.
- Reteste: preserve evidências mínimas, corrija a lacuna encontrada e repita o cenário nas mesmas condições.
A exceção precisa terminar junto com sua justificativa
Quando uma automação legítima for necessária, atribua responsável, finalidade e condição de revisão. Confira quem pode substituir o arquivo aprovado e se uma alteração exige novo aceite. Evite transformar a solução para uma entrega específica em confiança permanente sobre todos os documentos que passam pelo mesmo lugar. O teste deve observar tanto a negativa esperada quanto a operação autorizada.
Na análise da Pentesty, o resultado útil conecta o pedido, a decisão e o comportamento observado no computador utilizado. Um aviso de segurança ou uma taxa de cliques isolada não resume esse caminho. Documente limites quando o equipamento não estiver sob gestão da empresa e defina o encaminhamento de uma suspeita real, preservando registros sem executar novamente o arquivo recebido.
Perguntas frequentes
A notícia confirma 80 mil computadores infectados em 2026?
Não. O DOJ atribui o número à acusação sobre distribuição entre 2016 e 2017. O comunicado de 2026 trata do processo e não comprova individualmente esse total de infecções.
Uma conta conhecida na plataforma torna o anexo confiável?
O canal ajuda a contextualizar o pedido, mas não aprova seu conteúdo executável. Confira necessidade, origem e o procedimento autorizado antes de aceitar uma mudança no trabalho.
O bloqueio de macros funciona igualmente em todo Office?
A orientação citada tem escopo Windows e depende das condições documentadas. Identifique produto, versão e política efetiva; não estenda o mesmo resultado a todos os dispositivos.
Como testar sem usar um documento malicioso?
Use uma planilha própria e conteúdo sintético, com resultado esperado e limites definidos. Confira bloqueio, encaminhamento da exceção e conclusão da tarefa legítima, sem material da campanha.
Fontes e referências
- DOJ: comunicado da acusação sobre plataforma freelancer, 1º de setembro de 2026
- Microsoft Learn: macros da internet e escopo do Office no Windows
Análise original da Pentesty, publicada em 16 de outubro de 2026. Os cenários propostos são orientações editoriais, com escopo e validação a definir para cada ambiente.