Esta resposta a O usuário logado pelo sftp não aparece em 'w' sugere que w
usa utmp
logging - algumas pesquisas mostram que utmp
é um arquivo em /var/run/utmp
.
Se um programa não limpou utmp
depois de fazer o log-in, suspeito que w
possa produzir uma saída como a que você encontrou.