last | cut -d' ' -f1 | sort | uniq -c | sort -rn
Isso produzirá algo como:
189 user1
73 user2
...
7 reboot
...
1 wtmp
1
Quando a coluna do nome de usuário contém 'reboot', significa reinicialização do sistema, não um login. Quando a coluna de nome de usuário contém wtmp ou está vazia, também não é um login.