Любой может вызывать любую функцию, которую хочет, поэтому в буквальном смысле, да, любой может вызвать ее.
Но в контракте токенов, совместимом с ERC20, эта транзакция будет отменена, если вызывающий абонент не авторизован для передачи достаточного количества токенов с адреса from
.