Solucionado
Nessa explicação de utilizar interceptors, a linha:
req.headers.set('Authorization', 'informação de segurança aqui');
Traz erro e as fotos não são retornadas. Erro: Request header field Authorization is not allowed by Access-Control-Allow-Headers in preflight response.
Porque será que isso está acontecendo?
Isso é penas um exemplo! Não terá token nenhum na requisição porque o backend não adiciona esse token.
Se você esta fazendo isso em suas aplicações, seu backend deve permitir manipulação do header, caso contrário você não conseguirá adicionar informações extras.