O usuário faz uma selfie rápida

Uma selfie é suficiente? A pessoa não pode simplesmente subir uma foto qualquer da internet e assim garantir seu token?