Это зависит от модели считывателя и реализованных функций на стороне ПО.
Видел одну СКУД на картах Mifare (которая считалась тогда безопасной), которая из всего стандарта взяла только идентификацию по номеру карты. В итоге я пару дней ходил по территории завода с копией карты генерального директора (допуск у меня и так был, просто в логах были чужие ФИО). Потом надоело, сдал безопасникам.
Так эти удоды сказали, что я слишком умный и ни кто эту уязвимость применять не будет (разрабам естественно ни слова не написали), а там химии всякой интересной на территории...
В общем, к чему я это? К тому, что наличие возможности оборудования проверять, живой ли палец\глаз или это всего-лишь силиконовый болван, вовсе не означает того, что конкретный банкомат\СКУД реализует его в полной мере. И даже если железо+софт позволяют, то из-за высокой доли ошибок, могут в админке отключить (как это в последних pixel-ях делают).