
<html>

<head>

<meta http-equiv="Content-Type" content="text/html; charset=us-ascii">

</head>

<body style="word-wrap: break-word; -webkit-nbsp-mode: space; -webkit-line-break: after-white-space;" class="">

<div>

<blockquote type="cite" class="">

<div class=""><span style="font-family: Helvetica; font-size: 12px; font-style: normal; font-variant-caps: normal; font-weight: normal; letter-spacing: normal; orphans: auto; text-align: start; text-indent: 0px; text-transform: none; white-space: normal; widows: auto; word-spacing: 0px; -webkit-text-stroke-width: 0px; float: none; display: inline !important;" class="">I

 didn't consider a whole O365 domain being tested, but sure.</span></div>

</blockquote>

<div><br class="">

</div>

<div>When an application gets that big, people start to take it much more seriously.  I wouldn't have anticipated it if I hadn't run into deployers doing it repeatedly.</div>

<br class="">

<blockquote type="cite" class="">

<div class=""><span style="font-family: Helvetica; font-size: 12px; font-style: normal; font-variant-caps: normal; font-weight: normal; letter-spacing: normal; orphans: auto; text-align: start; text-indent: 0px; text-transform: none; white-space: normal; widows: auto; word-spacing: 0px; -webkit-text-stroke-width: 0px; float: none; display: inline !important;" class="">Reading

 what Ryan wrote, yes, that's probably the proxy caching success. It likely just caches a hash indicator saying that a hash of a given password worked.</span></div>

</blockquote>

<br class="">

</div>

<div>Could totally be.  We're back on the yellow brick road.</div>

<br class="">

<div class="">G'nite and sorry for the spam.</div>

</body>

</html>