Вложенные документы Word в файлах Excel: какие риски они создают и как их проверить

В книгу Excel можно вставить не только таблицу или диаграмму, но и целый документ Word — как отдельный объект, который открывается двойным щелчком. Такой приём удобен для отчётов, смет и пояснительных записок, однако именно встроенные объекты — один из классических каналов распространения вредоносного ПО. Главный принцип безопасной работы: встроенный документ — это исполняемый контент, а не просто «приложенный файл». Прежде чем открывать его, файл нужно проверить, а ещё лучше — извлечь вложение и просмотреть его в изолированной среде.

Ниже разберём, зачем в Excel вообще встраивают документы Word, какие риски это создаёт, как обнаружить и проверить вложения, что делать с файлами из недоверенных источников и как организовать безопасный обмен документами в организации.

Что такое встроенный документ Word в книге Excel

В Excel есть два принципиально разных способа добавить содержимое документа Word:

• Внедрение (embedding). Документ полностью помещается внутрь файла книги. Двойной щелчок по объекту запускает Word (или совместимый редактор) и открывает копию документа. Данные хранятся внутри самого файла .xlsx или .xls.
• Связывание (linking). В книгу помещается не сам документ, а ссылка на файл, лежащий отдельно. При открытии объекта Excel обращается к внешнему файлу по указанному пути.

Технически внедрённые объекты — это части формата OLE (Object Linking and Embedding), который Microsoft Office использует десятилетиями. Внутри файла книги внедрённый документ лежит в служебной структуре как отдельный поток данных. Именно поэтому файл Excel с вложениями может весить в разы больше обычного, а его содержимое не видно при беглом просмотре листов.

С точки зрения пользователя разница простая: внедрённый документ «едет» вместе с книгой, связанный — остаётся на исходном компьютере или в сети. С точки зрения безопасности оба варианта создают риски, но по-разному.

Зачем встраивают документы и где это уместно

Сам по себе приём легитимен и в ряде сценариев оправдан:

• смета или расчёт в Excel с приложенной пояснительной запиской в Word — всё передаётся одним файлом;
• шаблон договора, привязанный к расчётной таблице, чтобы условия и цифры не разъезжались;
• архивная книга, в которую собраны исходные документы по проекту;
• внутренний регламент, приложенный к рабочей книге, чтобы коллеги видели его рядом с данными.

Проблема в том, что тот же механизм используют злоумышленники. Внедрённый объект может содержать не документ, а исполняемый файл, скрипт или документ с вредоносными макросами. Внешне объект на листе может выглядеть как безобидная иконка Word или даже как картинка.

Основные риски встроенных документов

Вредоносное содержимое вложения

Самый серьёзный риск. Внутри книги Excel может быть внедрён:

• документ Word с макросами (формат .docm или документ с внедрёнными макросами), которые запускаются при открытии вложения;
• исполняемый файл, замаскированный под документ — иконка объекта может не соответствовать реальному содержимому;
• документ, эксплуатирующий уязвимости старых версий Office;
• объект, при открытии которого запускается загрузка файла из интернета.

Важно понимать механику: сам факт наличия вложения в книге ещё ничего не запускает. Опасность возникает в момент, когда пользователь двойным щелчком открывает объект. Именно поэтому фишинговые письма часто содержат книгу Excel с «отчётом» внутри и текстом вроде «откройте вложенный документ для просмотра деталей».

Скрытые данные и утечка информации

Обратная сторона: внедрённые документы часто содержат то, что отправитель не хотел бы показывать. Внутри вложения могут остаться:

• черновые версии текста, комментарии и примечания;
• персональные данные сотрудников или клиентов;
• конфиденциальные условия сделок, цены, маржа;
• метаданные: имена авторов, пути к файлам на корпоративных серверах, история правок.

Типичная ситуация: сотрудник собирает итоговую книгу для контрагента и вставляет в неё внутренний документ с расчётами, не проверив, что внутри. Файл уходит наружу вместе со служебной информацией.

Связанные объекты и внешние зависимости

Если объект связан, а не внедрён, книга будет пытаться обратиться к внешнему файлу. Это создаёт две проблемы. Во-первых, на другом компьютере связь просто не сработает — получатель увидит ошибку или устаревшие данные. Во-вторых, путь к файлу раскрывает структуру папок и сетевые ресурсы отправителя, что само по себе является утечкой информации об инфраструктуре.

Разрастание файла и нестабильность

Каждый внедрённый документ увеличивает размер книги. Десятки вложений делают файл тяжёлым, медленным и склонным к повреждениям. Повреждённая книга с вложениями — отдельная головная боль: стандартные инструменты восстановления Excel могут не извлечь объекты, а данные внутри них окажутся недоступны.

Как обнаружить встроенные документы в книге Excel

Прежде чем проверять содержимое, нужно убедиться, что вложения вообще есть. Есть несколько способов — от простого просмотра до анализа структуры файла.

Визуальный осмотр листов

Внедрённые объекты отображаются на листе как иконки или как фрагмент содержимого. Пройдитесь по листам, обратите внимание на:

• иконки Word, PDF, других программ, размещённые поверх ячеек;
• объекты, которые выделяются рамкой при щелчке, но не являются ячейками;
• надписи вроде «Двойной щелчок для открытия», «Отчёт», «Приложение» рядом с графическими элементами.

Учтите: объект может быть скрыт за изображением, диаграммой или вынесен далеко за пределы видимой области листа. Визуальный осмотр не гарантирует полноту.

Панель выделения и переход к объектам

В Excel есть инструмент, который показывает все объекты на листе, включая скрытые. Откройте вкладку «Главная», в группе «Редактирование» выберите «Найти и выделить», затем пункт «Выделение группы объектов» или «Область выделения». В области выделения отображается список всех объектов листа — так можно найти вложения, спрятанные под другими элементами.

Анализ структуры файла

Современный формат .xlsx — это ZIP-архив. Это даёт надёжный способ проверки без открытия книги в Excel:

1. Скопируйте файл и переименуйте копию, заменив расширение .xlsx на .zip.
2. Откройте архив любым архиватором.
3. Посмотрите папку xl/embeddings — именно там лежат внедрённые объекты. Файлы с расширениями .docx, .docm, .bin, .xlsx внутри этой папки и есть вложения.
4. Загляните в xl/externalLinks — наличие этой папки говорит о связях с внешними файлами.
5. Файл xl/workbook.xml и содержимое xl/worksheets могут дополнительно показать связи объектов.

Этот способ хорош тем, что файл при этом не запускается — ни макросы, ни объекты, ни автозагрузка внешних данных не срабатывают. Для старого бинарного формата .xls такой трюк не работает: там нужен специализированный анализатор или открытие в доверенной изолированной среде.

Как проверить содержимое вложения до открытия

Обнаружив вложение, не спешите открывать его двойным щелчком в Excel. Порядок проверки должен идти от пассивного анализа к активному.

Шаг 1. Извлеките документ из книги

Если вы уже разобрали .xlsx как ZIP-архив, вложение можно просто извлечь из папки xl/embeddings. Файл .docx после извлечения открывается как обычный документ Word. Файл с расширением .bin может быть как документом старого формата, так и чем-то иным — такие объекты требуют особой осторожности.

Альтернатива: щёлкните по объекту правой кнопкой в Excel и выберите «Документ» → «Преобразовать» или «Открыть» — но это уже активное действие. Извлечение через архив безопаснее.

Шаг 2. Проверьте реальный тип файла

Расширение — не гарантия. Проверьте фактический формат извлечённого файла:

• в свойствах файла посмотрите тип и подпись;
• откройте файл в текстовом редакторе или hex-просмотрщике и посмотрите первые байты: документ Word начинается с характерных маркеров формата (у .docx это сигнатура ZIP-архива PK, у старого .doc — маркер OLE);
• если «документ» на деле оказывается исполняемым файлом — это однозначный признак вредоносного объекта.

Шаг 3. Проверьте вложение антивирусом

Извлечённый документ стоит прогнать через актуальный антивирус с обновлёнными базами. Полезно использовать несколько независимых сервисов многодвижковой проверки — они выявляют значительно больше угроз, чем один антивирус. Помните об ограничении: антивирус ловит известные угрозы, но не гарантирует обнаружения новой атаки.

Шаг 4. Проверьте макросы

Если вложение — документ с поддержкой макросов (.docm) или старый формат .doc, откройте его с отключёнными макросами и посмотрите список макросов через редактор VBA (Alt+F11 в Word). Признаки, которые должны насторожить:

• макросы, запускающиеся автоматически при открытии или закрытии документа;
• обфусцированный код — бессмысленные имена переменных, длинные строки символов;
• обращения к командной оболочке, реестру, сетевым функциям, загрузке файлов;
• пароль на просмотр кода VBA — легитимные внутренние документы редко его имеют.

Если разбирать код не готовы — не открывайте такой файл вовсе, передайте специалистам по информационной безопасности.

Шаг 5. Открывайте в изолированной среде

Если файл нужен, а доверие к нему неполное, открывайте вложение не на рабочем компьютере, а в изоляции:

• виртуальная машина без доступа к корпоративной сети и без важных данных;
• отдельный компьютер вне рабочей сети;
• специализированные песочницы для анализа файлов, которыми пользуются службы ИБ.

Шаг 6. Проверьте связи с внешними файлами

Для связанных объектов откройте в Excel «Данные» → «Изменить связи» (кнопка доступна, когда связи есть). Список покажет пути, к которым обращается книга. Пути вида «C:\Users\Иван\…» или сетевые адреса раскрывают инфраструктуру отправителя, а ссылки на внешние ресурсы — повод уточнить у автора, зачем они нужны.

Сравнение способов проверки

Способ	Что выявляет	Риск при использовании	Кому подходит
Визуальный осмотр листов	Видимые объекты на листах	Минимальный	Всем, как первый шаг
Область выделения в Excel	Скрытые и перекрытые объекты	Минимальный	Всем
Разбор .xlsx как ZIP-архива	Все внедрения и внешние связи без запуска книги	Отсутствует, файл не запускается	Всем, кто готов работать с архиватором
Проверка извлечённого файла антивирусом	Известные вредоносные сигнатуры	Минимальный	Всем
Просмотр макросов VBA	Автозапуск, подозрительный код	Низкий, если макросы не запускать	Опытным пользователям
Открытие в изолированной среде	Реальное поведение объекта	Зависит от качества изоляции	ИТ-специалистам, службам ИБ

Типичные ошибки при работе с вложенными документами

• Открытие объекта «просто посмотреть». Двойной щелчок — это запуск. Если источник файла не проверен, любознательность обходится дорого.
• Доверие к расширению и иконке. Иконка Word на объекте не означает, что внутри документ Word. Проверяйте фактический тип извлечённого файла.
• Проверка только книги, но не вложений. Антивирус на уровне почты может проверить книгу Excel и пропустить вредоносное содержимое внутри OLE-объекта.
• Пересылка книги с вложениями без ревизии. Внутри остаются черновики, персональные данные и метаданные. Перед отправкой решите, какие вложения действительно нужны получателю.
• Отключение предупреждений безопасности «чтобы не мешало». Предупреждения о макросах и внешнем содержимом — последний рубеж. Отключая их в масштабе организации, вы снимаете защиту у всех сотрудников.
• Использование вложений как хранилища. Документы, спрятанные внутри книги, не попадают в резервное копирование и системы контроля версий как отдельные файлы. При повреждении книги теряется всё.

Как снизить риски на уровне организации

Для компаний, где книги Excel с вложениями ходят между отделами и контрагентами, разумны следующие меры:

• политика, запрещающая открывать вложенные объекты в файлах из внешних источников без проверки;
• настройка Office так, чтобы макросы во вложенных документах по умолчанию отключались, а предупреждения нельзя было отключить пользователями;
• проверка входящих файлов на почтовом шлюзе с разбором OLE-объектов, а не только поверхностным сканированием;
• правило: для передачи сопроводительных документов использовать архив с отдельными файлами, а не внедрение в книгу;
• обучение сотрудников: фишинговые письма с книгами Excel и «документом внутри» — распространённая схема, и распознавание её должно быть частью базовой грамотности.

Сценарии: что делать в конкретной ситуации

• Пришёл файл от известного коллеги, внутри документ Word. Риск низкий, но не нулевой: аккаунт коллеги могли взломать. Если содержимое неожиданное или файл пришёл с необычной просьбой («открой вложение и проверь цифры») — уточните у отправителя по другому каналу связи.
• Файл от незнакомого отправителя или из массовой рассылки. Не открывайте объекты вообще. Проверьте книгу через архив и антивирус; при малейших сомнениях удалите или передайте в ИБ.
• Нужно отправить контрагенту книгу с пояснительным документом. Проверьте вложение на скрытые данные и метаданные, удалите лишнее. Надёжнее — приложить документ отдельным файлом в архиве.
• Нашли в архивной книге вложение, содержимое которого неизвестно. Извлеките через ZIP-разбор, проверьте тип и антивирусом, открывайте только при необходимости и в изоляции.
• Книга с вложениями повреждена и не открывается. Попробуйте извлечь данные через ZIP-разбор (для .xlsx) — вложения в папке embeddings могут остаться целыми, даже если сама книга не открывается.

Частые вопросы

Опасно ли просто открыть книгу Excel с вложенным документом Word?

Само открытие книги обычно не запускает вложение: объект активируется при двойном щелчке по нему. Однако книга может содержать и другие активные элементы — макросы, внешние связи, запросы к данным, — которые срабатывают при открытии. Поэтому файл из недоверенного источника не стоит открывать в обычном режиме без предварительной проверки.

Можно ли удалить вложение из книги?

Да. Щёлкните по объекту правой кнопкой и выберите «Удалить», либо выделите объект и нажмите Delete. Перед удалением убедитесь, что данные из вложения не нужны: восстановить их после сохранения книги будет нельзя. Альтернатива — извлечь документ через разбор файла как архива и сохранить его отдельно.

Чем внедрение отличается от обычного прикрепления файла к письму?

Вложение к письму — отдельный файл, который почтовый сервер и антивирус проверяют как самостоятельный объект. Внедрённый документ спрятан внутри книги и часто ускользает от поверхностных проверок. Кроме того, пользователь воспринимает книгу как «один файл» и может не осознавать, что внутри есть запускаемый контент.

Как понять, что вложение содержит макросы?

После извлечения объекта посмотрите расширение: .docm прямо указывает на поддержку макросов. Старый формат .doc тоже может содержать макросы — проверить можно, открыв документ с отключёнными макросами и посмотрев список через редактор VBA. Отсутствие макросов не означает полную безопасность: документ может эксплуатировать уязвимости или содержать вредоносные ссылки.

Что делать дальше

Главный принцип: встроенный документ — это программа, ожидающая запуска, а не иллюстрация. Относитесь к вложениям в книгах Excel так же строго, как к исполняемым файлам из интернета.

Практический порядок действий при получении книги с вложениями:

1. Не открывайте объекты двойным щелчком, пока файл не проверен.
2. Разберите .xlsx как ZIP-архив и посмотрите папку embeddings — так вы увидите все вложения, не запуская ничего.
3. Проверьте фактический тип извлечённых файлов и прогоните их через антивирус.
4. Документы с макросами открывайте только с отключёнными макросами и, по возможности, в изолированной среде.
5. Перед отправкой книги наружу удалите вложения с конфиденциальным содержимым или приложите документы отдельными файлами.

Если файл пришёл из внешнего источника и его содержимое критично для работы, самый разумный шаг — передать проверку специалистам по информационной безопасности. Цена короткой консультации несопоставима с ценой инцидента на корпоративной сети.

Материал носит информационный характер и не заменяет консультацию специалиста по информационной безопасности. Решения о работе с файлами из недоверенных источников в корпоративной среде принимайте с учётом внутренних политик организации и рекомендаций ИТ-отдела.