Jarenlang werden gebruikers van Microsoft Office aangevallen via een kwetsbaarheid die al in 2012 was gepatcht, maar recent kiezen cybercriminelen massaal voor een beveiligingslek in Office en WordPad dat Microsoft in april van dit jaar patchte. Via de kwetsbaarheid kan een aanvaller volledige controle over een systeem krijgen als een kwaadaardig document met een ongepatchte versie van Office wordt geopend.

Het beveiligingslek werd al sinds november 2016 bij zeroday-aanvallen ingezet. Begin april van dit jaar waarschuwden securitybedrijven voor de kwetsbaarheid en op 11 april volgde een patch van Microsoft. Om Office-gebruikers via kwaadaardige documenten aan te vallen zijn er allerlei "exploit-builders" beschikbaar. Via deze tools is het eenvoudig om een exploit aan een document toe te voegen.

Normaliter kan het maanden duren voordat dergelijke builders van een nieuwe exploit gebruikmaken, maar in het geval van de Office-kwetsbaarheid van april gebeurde dat veel sneller, aldus het Britse anti-virusbedrijf Sophos in een rapport (pdf). Van alle waargenomen aanvallen via Office-documenten maakt nu 77,7 procent gebruik van dit beveiligingslek, gevolgd door de Office-kwetsbaarheid uit 2012. Het Office-lek uit 2012 was jarenlang de nummer één Office-exploit voor cybercriminelen en cyberspionnen, omdat een groot deel van de gebruikers en organisaties hun Office-versies niet of heel traag updatet.