Sorulan soru dizin listelemeyi kapatmaktı. Ama dediğiniz gibi url'i farklı şekilde bulursa indirebilir. Bunun için yapılabilecek şeyler var :

1 - Her PDF'e şifre koyup, sipariş sonrası şifreyi müşteriye ulaştırmak.
2 - Eklenti kullanarak sadece belli kullanılara indirmeyi açmak ya da yine eklenti ile şifreleme = https://tr.wordpress.org/plugins/download-manager/