Tengo el mismo problema exactamente. Lo que ocurre es que independientemente del código de la página, si pones la url del archivo te lo abre.
De hecho hasta los propios motores de búsqueda pueden acceder al documento. Como mucho he hecho que no se pueda listar la carpeta de los pdf.
pero si pones en cualquier navegador:
http://www.mipaginaweb.com/pdfs/pdf1.pdf
Te abre el pdf sin más, da igual la página, si es asp, php o lo que sea. Porque la url va directa al pdf
En mi caso en admon de la Web sube documentos para comunidades de vecinos, en pantalla sólo te aparecen los de tu comunidad (filtrando por el grupo de usuario) pero si pillamos la url no hace falta logado ni nada.
Yo he pensado en renombrar los pdf a .dat y en el link de apertura renombrar a pdf y abrirlo, el problema es cuando vuelvo a renombrar a .pdf
No sé, es un problemón y no se me ha dado el caso nunca, no sé qué hacer.