Para qualquer Cookie que você precise criar, independentemente de linguagem/plataforma, é altamente recomendável que seja definida a flag HttpOnly que te ajuda a previnir manipulações do seu Cookie através de JavaScript, e consequentemente ataques XSS, além da flag Secure, que a própria W3C padronizou como uma forma de evitar que sejam aceitas requisições com Cookies através de canais inseguros.
De fato, se alguém conseguir de alguma forma gerar o conteúdo exato do seu Cookie de autenticação, ele pode muito bem alterar o Cookie no browser e utilizá-lo. Mas temos que considerar que o próprio Asp.Net já cuida bem da parte de encriptar seus Cookies através da configuração do machineKey, o que torna essa prática bem improvável.
Por outro lado, o usuário nem precisaria gerar o conteúdo se for facilitado o roubo dessas informações. Com a flag HttpOnly, você impede que scripts maliciosos em JavaScript consigam ler seus Cookies e a flag Secure garante que a aplicação só irá entender o conteúdo se o mesmo estiver trafegando por SSL, que é obrigatório hoje em dia para evitar tráfego de informações em texto puro, que poderiam ser facilmente lidas por ataques man-in-the-middle.
Em Asp.Net, as configurações podem ser feitas através de configurações no Web.config com o elemento httpCookies:
<httpCookies httpOnlyCookies="true" requireSSL="true" />
Para qualquer Cookie, você consegue setar programaticamente:
HttpCookie myCookie = new HttpCookie("myCookie");
myCookie.HttpOnly = true;
Response.AppendCookie(myCookie);
Especificamente no caso do Cookie de autenticação, é possível forçar a flag secure no elemento forms:
<authentication mode="Forms">
<forms cookieless="UseCookies" requireSSL="true" />
</authentication>