A naso direi che bisognerebbe passare alla funzione di urlmon usata per aprire lo stream dati un oggetto che implementa IAuthenticate, quando ho un Excel sotto mano ci do un'occhiata.