Un documento con macro abilitate è un file di Office, come un documento Word o Excel, che può memorizzare ed eseguire macro: piccoli script che automatizzano azioni all'interno dell'applicazione. Questi file sono comuni nei flussi di lavoro aziendali, ma la loro capacità di eseguire codice li rende un rischio per la sicurezza quando vengono aperti da fonti non attendibili. Le macro vengono eseguite solo se l'utente le abilita e se la policy organizzativa lo consente.
Negli attacchi informatici, i documenti con macro abilitate vengono spesso usati come prima fase dell'infezione. Un attaccante invia un documento plausibile che invita l'utente ad abilitare il contenuto, quindi la macro avvia uno script, scarica malware o apre una connessione nascosta a un server controllato dall'attaccante. I difensori riducono questo rischio bloccando le macro provenienti da Internet, limitando i processi figlio di Office, usando l'allowlisting delle applicazioni e formando gli utenti a non abilitare il contenuto in documenti inattesi. In pratica, il controllo delle macro è un livello chiave per fermare le catene di intrusione basate sul phishing.