Если одна дыра или недоработка в ВКонтакте USER_API, с помощью которой можно просматривать те фото, которые «защищены настройками приватности».
Дабы не вдаваться в особые подробности работы USER_API, просто отмечу, что есть сайт Павла Дурова, где он показывает на примере работу этого API, и куда собственно перенеслись все недоработки этого API.
Вот собственно этот сайт и пренебрегает настройками безопасности при просмотре фотографий. Можно при желании пользоваться.