При использовании Download Domain не показывать картинки и другие вложения в OWA с включенным MFA.
Вместо показа картинки браузер обращается к mfa.aspx, а при клике на вложения другого типа редиректит на страницу аутентификации в "Download Domain".
Сам домен может быть как четвёртого уровня из примера по ссылке, так и третьего на одном уровне с OWA.