Sim, existem problemas de segurança, e potencialmente bem graves. Mas antes, uma explicação dos níveis de segurança no Excel.
Níveis de Segurança
Como você já deve ter percebido, ao criar qualquer código VBA em uma planilha Excel (isto é, nem precisa ser algo que executa automaticamente no evento de abertura da planilha), o Excel requer que você salve o arquivo com uma extensão específica (*.xlsm
= pasta de trabalho habilitada para macros). Além disso, quando o arquivo é aberto o Excel solicita (por padrão) ao usuário para que ele permita ou não a execução das macros:
Essa opção é o modo padrão porque o Excel busca garantir a segurança do usuário. Mas ela pode ser alterada. Para isso, vá ao menu "Arquivo", escolha o item "Opções" e selecione o item "Central de Confiabilidade" na janela que será exibida:
Então, clique no botão "Configurações da Central de Confiabilidade" e selecione o item "Configurações de Macro" na nova janela exibida:
Como você pode ver, há quatro (4) opções distintas para você escolher a respeito de como o Excel deve tratar a segurança das macros. São elas (em tradução livre da documentação):
Desabilitar todas as macros sem notificação. Clique nessa opção se você não confia em macros (elas são muito malvadas! rs). Todas as macros em documentos e os alertas de segurança sobre elas serão desabilitados. Se existirem documentos que contém macros não assinadas que você confia, você pode colocá-los em uma localidade confiável. Documentos em localidades confiáveis são permitidos a executar sem a verificação pelo sistema de segurança Trust Center.
Desabilitar todas as macros com notificação. Esta é a configuração padrão. Clique nessa opção se você quer que as macros sejam desabilitadas, mas quer receber alertas de segurança se existirem macros presentes no documento. Dessa forma, você pode escolher quando habilitar ou não as macros em cada documento que abrir.
Desabilitar todas as macros, exceto as digitalmente assinadas. Esta configuração é a mesma que a opção Desabilitar todas as macros com notificação, exceto que se a macro for digitalmente assinada por um publicador reconhecido, a macro pode ser executada se você já tiver confiado no publicador. Se você ainda não confiou no publicador, você será notificado. Dessa forma, você pode escolher quando habilitar as macros assinadas ou confiar no publicador. Todas macros não assinadas são desabilitadas sem notificação.
Habilitar todas as macros (não recomendado; códigos possivelmente perigosos podem ser executados). Clique nessa opção para permitir que todas as macros sejam executadas. Usando essa configuração você deixa o seu computador vulnerável a código potencialmente malicioso e, por isso, não é uma atitude recomendada.
Há ainda a opção de "Confiar no acesso ao modelo de objeto do projeto VBA", que é intencionada para desenvolvedores poderem acessar o modelo de objetos do VBA e assim poder construir código dinamicamente. É ainda mais perigosa se marcada, mas eu explico em detalhes a seguir.
Por que é perigoso?
O Excel é uma ferramenta de software instalada no seu computador. Diferentemente de um código em JavaScript, por exemplo, que não tem acesso direto ao seu computador (a arquivos em disco, por exemplo), já que toda a estrutura da linguagem foi criada pensando nisso, o VBA foi feito para permitir a automação de planilhas, apresentações, bancos de dados, enfim qualquer produto do sistema Microsoft Office. E tudo é executado localmente. Por isso, o VBA têm sim acesso local. Você pode criar ou apagar arquivos, acessar sites da Internet, enviar emails, etc (apenas para citar alguns exemplos).
Tudo bem que você confia no código VBA que você fez. Mas o usuário vai utilizar outras planilhas, possivelmente de origens muito diversas. Quem garante que uma delas não tenha código malicioso que, por exemplo, apague todos os arquivos do disco do usuário? O Excel tenta ajudar prevenindo o usuário para não executar qualquer coisa que ele desconheça. Como você viu anteriormente, existe uma configuração para eliminar essa "chatice" de ficar perguntando. Mas ela não é feita para cada arquivo, ela é feita para todo o sistema! Assim, se você liberar a execução do seu código, vai liberar a execução de qualquer código. Inclusive os potencialmente maliciosos (que podem apagar informações do disco ou até se auto-replicar em outros arquivos, se a opção de fornecer acesso ao modelo de objetos estiver selecionada - porque, nesse caso, um código VBA pode até mesmo criar ou excluir outro código VBA, no próprio arquivo, ou em outros que encontrar no disco). E, pior, isso tudo vai ser executado de forma silenciosa, pois o Excel sempre permitirá que a macro execute sem avisar ao usuário que há algo executando.
Alguém poderia argumentar que dificilmente o usuário irá abrir qualquer outra planilha que não as que ele realmente use no dia-a-dia, quando em um ambiente de trabalho. Mas isso não é de todo verdade. Ele pode baixar da Internet aquela planilha bacana com a tabela do Campeonato Brasileiro para abrir na hora do almoço, ou uma planilha da hora que auxilia a fazer o bolão da Mega Sena. E não podemos nos esquecer que já houveram muitos casos de hackers bem mais aptos em engenharia social do que computação, que simplesmente fingiam ter um CV muito bom pra conseguir uma entrevista naquela empresa inacessível, para então pedir licença para ir ao banheiro e deixar uma mídia com código malicioso e o rótulo "Planilha de Salários" sobre o bebedouro. Usuários curiosos são muito úteis para ajudar a atacar uma empresa por dentro. :)
Se você está construindo algo profissional mesmo, o ideal é contratar o serviço de um servidor de assinaturas digitais e assinar o seu arquivo Excel para que a macro seja assinada e confiável. Assim você pode usar a opção 3 com segurança, e ainda por cima passar credibilidade para o seu cliente. Eu nunca precisei assinar uma macro, então não sei como funciona. Mas há informações na documentação da Microsoft.