У меня проблемы с пониманием поля "ОТ" поля "w". AFAIK, когда кто-то входит непосредственно на компьютер, поле "TTY" имеет значение tty *, а "FROM" пусто; когда кто-то входит в систему через ssh, "TTY" - это pts/*, а "FROM" - это IP-адрес компьютера пользователя. Это довольно прозрачно.
Но что, если "TTY" - это pts/*, а "FROM" - это:5.5 или:3?