Да, вы можете получить доступ к приватным полям через отражение. Вот как многие ORM выполняют заполнение объекта без прохождения через ваши свойства (что вызовет бизнес-логику, которую вы, возможно, не планировали запустить при загрузке объекта).
Модификаторы доступа не являются формой безопасности!