()
Смущаете то что в Windows в "Просмотр событий" -> "Журналы Windows" -> "Безопасность" постоянно идут события "Аудит успеха" "Вход в систему" под пользователем user1c.
На картинке пример. Это всё от пользователя user1c. Так постоянно, и не важно подключён кто-то к серверу или нет.
Остановить службу агент сервера 1С и проверить журнал, есть ли такие события.