Esta resposta a O usuário logado pelo sftp não aparece em 'w' sugere que w usa utmp logging - algumas pesquisas mostram que utmp é um arquivo em /var/run/utmp .
Se um programa não limpou utmp depois de fazer o log-in, suspeito que w possa produzir uma saída como a que você encontrou.