Да, это можно подделать, но Event Validation (при условии, что вы используете WebForms, а не MVC) должен его поймать.
Однако, если вы делаете что-то на стороне клиента, например, добавляете опции в список, а затем выбираете его, то при проверке событий произойдет ошибка, потому что список не имеет своего исходного содержимого, поэтому люди в конечном итоге отключают его, чтобы живет проще.
Даже если вы оставили проверку событий включенной, у вас должна быть стратегия глубокой защиты и проверка роли независимо от этого.