По идее - посмотреть дату модификации файла с паролями (не помню по памяти где лежит), потом по команде "last" посмотреть - с какого IP заходили на станцию в это время. Может получится.
А у вас - политика безопасности - без ограничения паролей по времени действия? Т.е. не программировали что пароли действуют столько-то дней?
И в дополнение - а на станцию ВСЕ могут зайти? Тогда настоятельно не рекомендуется оставлять дефолтовские пароли.