Offensichtlich funktioniert er nicht, sonst hättest Du nicht diese Probleme. Dein Zugriffsschutz funktioniert nur über die Geheimhaltung der Downloadadressen und das ist, wie Du ja selbst schon merkst, unbrauchbar. Entweder Du machst den Zugriffsschutz über .htaccess (für ganze Ordner) oder Du gibst die Downloads per Skript aus (Cookie-/Sessionprüfung).

Wenn die Anzahl der Kollegen sich nicht permanent ändert, bzw. die Zugriffsrechte derselbigen, würde ich auch die .htcaccess Methode wählen, da diese sehr viel einfacher und schneller eingerichtet ist, als ein eigenen Loginssystem programmiert. Letzteres macht nur dann Sinn, wenn Logins (Accounts) jederzeit und häufig angepasst werden müssen.

Ich verwende auf meiner Domain (siehe Visi) ebenfalls ein Skript um Downloads auszuliefern. Sämtliche Download-Dateien sind nach aussen so gesichert, (über CHMOD) das niemand am Donwload-Manager vorbeikommt, selbst wenn er wüsste wo genau die Dateien stehen und wie sie heissen, URL würden hier also gar nichts nützen. Ich verwende zwar statt Logins mein eigenes Captcha-System, technisch gesehen ist das aber zu einem Login-System identisch.

Aber wie gesagt, das ist eine Frage des Aufwand/Nutzen-Verhältnisses und würde es zuerstmal mit .htaccess versuchen. Eine professionelle Lösung um mit .htaccess umzugehen wäre übrigens Multi-HTACCESS Schutzsystem von Stefanos von Coder-world.de. Schau es Dir an, vielleicht kannst Dir damit ein extra Loginsystem sparen.