Si bien es cierto que los requisitos de complejidad de la contraseña reducen el posible espacio de búsqueda No estoy seguro de que esto sea exactamente lo que estás buscando.
Es posible que se esté refiriendo a los hábitos de algunas personas para elegir opciones más predecibles (como "Contraseña1") cuando se requiere una combinación de minúsculas, mayúsculas, números o símbolos. Si bien es cierto que la implementación de la complejidad de la contraseña no evita el uso de algunas contraseñas débiles, elimina lo peor de lo peor (como "contraseña" y "123456"). Pero tiene razón en que activar la complejidad no es una solución a las contraseñas deficientes por sí sola.
Si tiene pruebas de que alguien está forzando contraseñas brutas sobre OWA, los registros de los intentos y los éxitos deberían ser suficientes para demostrar que la complejidad de la contraseña no es lo suficientemente efectiva. No estoy seguro de que su demostración de este ataque en acción haga mucho más para influir en su opinión. Y si no tiene éxito, en realidad puede reforzar su creencia de que nada está mal.
Si su objetivo es resaltar las debilidades generales en las elecciones de contraseña de sus compañeros de trabajo, sugeriría que se descifren o analicen las contraseñas en lugar del forzamiento de brutos en línea. Debería proporcionar muchas más contraseñas más débiles en un período de tiempo más corto, lo que debería ayudar a resaltar cualquier problema generalizado de contraseñas.