Outlook blochează atașamentele .msix și .msixbundle din noiembrie: pe cine afectează, de ce și cum trimiți totuși un fișier

Din noiembrie 2026, Outlook pe web și noul Outlook pentru Windows vor bloca atașamentele cu extensiile .msix și .msixbundle. Microsoft a anunțat schimbarea pe 5 octombrie, prin notificarea MC1488841 către administratorii Microsoft 365. Blocarea va fi activată treptat, de la începutul până la jumătatea lunii noiembrie. Microsoft explică decizia prin „protecția împotriva atașamentelor potențial nesigure” și precizează că aceste tipuri de fișiere sunt „rar folosite prin e-mail”.

Ce sunt fișierele MSIX

MSIX este formatul modern de pachete de instalare pentru aplicațiile Windows. Un fișier .msix conține o aplicație completă, iar .msixbundle grupează mai multe variante ale aceleiași aplicații, de exemplu pentru procesoare diferite. Practic, un dublu clic pe un astfel de fișier pornește instalarea unui program. Formatul mai vechi, .appx, era deja pe lista atașamentelor blocate de Outlook, alături de .exe, .msi, .bat sau .ps1. Noua decizie închide astfel o portiță rămasă deschisă.

De ce blochează Microsoft MSIX

Pachetele MSIX au mai fost folosite de grupări infracționale. La sfârșitul lui 2023, Microsoft a observat patru grupări motivate financiar, Storm-0569, Storm-1113, Sangria Tempest (cunoscută și ca FIN7) și Storm-1674, care foloseau protocolul ms-appinstaller ca să instaleze malware deghizat în aplicații cunoscute, precum Zoom, TeamViewer sau AnyDesk. Prin acest canal ajungeau pe calculatoare programe ca BATLOADER, EugenLoader (FakeBat), Carbanak sau DarkGate, iar în unele cazuri atacul ducea la ransomware-ul Black Basta.

Metoda era atractivă pentru atacatori pentru că ocolea filtrul Microsoft Defender SmartScreen și avertismentele obișnuite ale browserelor la descărcarea de programe executabile. Microsoft a dezactivat implicit protocolul pe 28 decembrie 2023, prin versiunea 1.21.3421.0 a aplicației App Installer. Nu era prima dată: protocolul mai fusese oprit în februarie 2022, după ce fusese folosit pentru a distribui malware-ul Emotet, TrickBot și Bazaloader. Blocarea din noiembrie mută aceeași logică în e-mail: fișierul de instalare nu mai ajunge direct în căsuța de mesaje.

Pe cine afectează

Anunțul se adresează organizațiilor care folosesc Exchange Online, adică firmelor și instituțiilor cu Microsoft 365. Cele două extensii vor fi adăugate pe lista de fișiere blocate (BlockedFileTypes) din politica implicită OwaMailboxPolicy, dar și din toate politicile personalizate create de administratori. După activare, utilizatorii nu vor mai putea descărca sau deschide astfel de atașamente din cele două aplicații.

Ce pot face administratorii

Firmele care chiar distribuie aplicații interne prin e-mail pot face o excepție. Microsoft recomandă ca extensiile să fie adăugate în lista de fișiere permise (AllowedFileTypes) a politicii OwaMailboxPolicy înainte de începerea blocării. În Exchange Online PowerShell, comanda pentru politica implicită arată așa:

Set-OwaMailboxPolicy -Identity OwaMailboxPolicy-Default -AllowedFileTypes @{Add=".msix",".msixbundle"}

Sintaxa @{Add=...} adaugă valorile fără să le șteargă pe cele existente. Comanda trebuie repetată pentru fiecare politică personalizată din organizație. Înainte de a face excepția, merită o întrebare simplă: chiar e nevoie ca aceste pachete să circule prin e-mail? Pentru distribuirea aplicațiilor interne există variante mai sigure, ca Intune sau un link către un server intern.

Cum trimiți totuși un fișier blocat

Pentru utilizatori, Microsoft recomandă în documentația despre atașamentele blocate trei soluții:

• Link în loc de atașament. Cea mai simplă variantă: încarci fișierul pe OneDrive sau SharePoint și trimiți linkul.
• Arhivă. Comprimarea fișierului într-o arhivă îi schimbă extensia, deci trece de filtru.
• Redenumire. Schimbi extensia înainte de trimitere, iar destinatarul o readuce la forma originală după descărcare.

Aceleași metode le pot folosi însă și atacatorii. Blocarea nu oprește complet pachetele periculoase, ci elimină varianta cea mai directă, atașamentul pe care victima îl deschide cu un dublu clic. De aceea regula de bază rămâne aceeași: nu instala aplicații primite pe e-mail, nici măcar de la un expeditor cunoscut, al cărui cont poate fi compromis. Descarcă programele din Microsoft Store, prin winget sau de pe site-ul oficial al producătorului. Mai multe despre cum recunoști un mesaj capcană găsești în ghidul nostru despre phishing și inginerie socială și în seria Securitate Online.

Informațiile provin din Heise (7 octombrie 2026) și The Next Web, pentru anunțul Microsoft MC1488841, clienții afectați, calendarul și excepțiile pentru administratori; din documentația Microsoft Learn pentru Set-OwaMailboxPolicy (sintaxa parametrilor AllowedFileTypes și BlockedFileTypes și lista implicită de extensii blocate); din pagina de suport Microsoft „Blocked attachments in Outlook”, pentru soluțiile de trimitere a fișierelor; și din The Hacker News (28 decembrie 2023), pentru dezactivarea protocolului ms-appinstaller și grupările care l-au folosit.