O feitiço Encontrar Familiar (PHB p240):
Your familiar acts independently of you, but it always obeys your commands. In combat, it rolls its own initiative and acts on its own turn. A familiar can’t attack, but it can take other actions as normal.
Ele afirma que um familiar não pode atacar - não que não possa atacar sua ação, mas que não pode atacar, mesmo que seja um ataque de oportunidade. A única exceção é quando o lançador usa o familiar para realizar um ataque por toque usando a reação do familiar:
[...] it must use its reaction to deliver the spell when you cast it. If the spell requires an attack roll, you use your attack modifier for the roll.
Expandindo o comentário abaixo (vote-o!), O recurso da classe Pacto do Chain Warlock também tem outra exceção (PHB p.107):
Additionally, when you take the Attack action, you can forgo one of your own attacks to allow your familiar to make one attack of its own.
Isso significa que o Warlock renuncia a um ataque que receberia ao executar a ação de ataque na sua vez (eles podem ter mais de um, por exemplo, de várias classes com lutadores e recebendo ataques extras) e, em vez disso, os ataques familiares. O familiar ataca imediatamente, por iniciativa do bruxo, usando a reação do familiar.
Isso ainda não permite que o familiar faça ataques de oportunidade.