Полагаю, что только в случае если на ноутбуке данного пользователя осуществлялся когда-либо вход с учёткой доменного администратора или при наличии явных незакрытых уязвимостей на ваших серверах или ПК, на которых осуществлялся вход с учёткой доменного администратора.