Hallo @rolinux,
ich kenne das AccessControl-Plugin zwar nicht, aber folgendes wird Dir hoffentlich helfen.
..., unter anderem eine Seite im passwortgeschützten Mitgliederbereich, an die er ohne Benutzer und Passwort gar nicht rankommt. ...
Das jemand die Adresse einer Seite kennt und aufruft heißt noch nicht, dass er Ihren Inhalt sehen kann.
Wenn die Zugriffskontrolle greift, wird er um eine Identifizierung gebeten ( = Loginformular) bevor ihm der eigentliche Inhalt gezeigt wird. Das kannst Du ganz einfach testen, in dem Du selbst die Adresse aufrufst.
Nun bleibt noch die Frage, woher der Besucher die Adresse der Seite kannte, die nicht im (allgemeinen) Menü aufgelistet ist.
Dafür gibt es viele mögliche Lösungen. Neben Optionen wie Browserverlauf, Lesezeichen,... ist es hier noch gut zu wissen, dass mozilo eine
sitemap.xml erstellt.