Amigos temos 2 possibilidades neste caso.
a menos provavel e que seja o famoso virus Conflicker ( ele se instala na rede e fica tentando autenticaçao com algum usuario do Dominio).
O mais provavel é que o usuario tenha salvo sua senha de dominio no navegador web para salvar suas informaçoes(senha e login) para futuros acessos a aplicaçoes web ou a propria internet, e em seguida fez a troca de sua senha no dominio
Desta forma toda vez que tentar acessar qualquer coisa via navegador vai autenticar com a senha antiga, bloqueando seu acesso.
Pode tambem verificar o EVT na aba Security do DC, e verificar no momento em que ocorrer o bloqueio da conta, e analizar de qual client esta sendo feito o bloqueio da conta.
Espero ter ajudado e classifique se lhe for util em algo
Abraço
