Como todos sabem (ou deveriam saber), a pasta webroot do cake lista os diretórios e permite a navegação no mesmo.
Então como podemos resolver isto?
Simples, vamos melhorar o .htaccess da pasta webroot!
Segue abaixo o novo .htaccess:
Options -Indexes
RewriteEngine On
RewriteCond %{REQUEST_FILENAME} !-d
RewriteCond %{REQUEST_FILENAME} !-f
RewriteRule ^(.*)$ index.php?url=$1 [QSA,L]
RewriteCond %{REQUEST_FILENAME} -f
RewriteCond %{REQUEST_FILENAME} webroot/files/*
RewriteRule ^(.*)$ index.php [R=403]
O que isso faz?
Não permite a listagem de diretórios, protege a pasta files com status 403 para quem tentar acessar.
Para mais informações ver o blog do Gustavo Dutra que foi o cara que me ajudou nesse .htaccess aí 