回答ありがとうございます! 回答いただいた内容を参考に実装してみます。
broadcastを使用しない場合せず、かつメッセージを特定のユーザー以外に送らないことで希望を満たせるのであれば、できそうです。 友達追加時にユーザーIDを含むwebhookイベントがアカウントに送信されるため、それをもとにユーザーを制限すれば(例えば、特定のユーザー以外のwebhookイベントは無視することで反応をしない)、事実上privateな環境でmessaging APIを利用できそうです。
basic IDなどを検索不可能にする方法は存在しないと思います。