خوب . حتما همیجور هست که دیگارن توضیح دادند

ولی

1 _ از دستور history استفاده کنید و ببیینید که command های آخری مال شماست و یا کس دیگه زده
2 - از دستور last استفاده کنید و ببینید که چقد login بوده
3 - این میتونه به علتssh ftp یا ssh copy باشه و یا اینکه فقط password یه user رو زدند و نتونستند Login کنند . در هر صورت از history / last میتونید متوجه بشید