Continuando la ricerca nel visualizzatore eventi ho capito che il codice ID EVENTO 676, mi dice che l'utente ha cercato di fare il login avendo l'account bloccato, + avanti nelle voci del visualizzatore ho trovato il blocco (continuando a non capire xkè si è bloccato) VVoVe:

==================================
Id evento: 644
Utente NT AUTORITY\ACCESSO ANONIMO
Computer: NomeDelServer

Descrizione:
Blocco account utente
Nome account di destinazione: NomeUtenteBloccato
Id account di destinazione: NomeDominio\NomeUtenteBloccato
Nome computer chiamante: NomePcDellUtenteBloccato
Nome Utente chiamante: NomeDelServer
Dominiochiamante: NomeDominio
Id Accesso chiamante: 0x.0x3E7
==================================


Grazie a tutti