Если бы мы подделывали запрос на яваскрипте, что уже само по себе довольно странное решени и годится только тогда, когда надо раскрутить хсс/хсрф, то да, верно. Но курл может подделать все что угодно, хоть реферер, хоть что, так что он справится с этим без проблем.