Die Attachment-Seite kann praktisch bei Kenntnis der ID immer aufgerufen werden. Die Id taucht z.B. auch im Quelltext von Seiten auf, in denen das Bild per img-Tag eingebunden ist. Wordpress fügt da eine CSS-Klasse "wp-image-1234" hinzu, wobei 1234 die Attachment-ID ist. Man könnte die ID auch raten oder durchprobieren.
Selbst wenn auf der Beitragsseite, in der das Bild eingebunden, eine korrekte Quellenangabe steht, fehlt diese dann auf der automatisch erzeugten Attachmentseite. Beim direkten Aufruf des Bildes fehlt die Quelle natürlich auch. Man ist nicht verpflichtet, die im Bild selber unterzubringen.
Soviel zu den technischen Hintergründen, wie das rechtlich zu bewerten ist, kann ich nicht sagen.
Gruß
Ingo