Por padrão o comando last exibe somente alguns logs de usuários que fizeram login no servidor. Isso acontece porque o comando coleta essas informações somente do arquivo /var/log/wtmp que guarda as informações.
Mas em alguns casos é necessário verificar acessos antigos, para isso use o parâmetro -f com o nome do log arquivado pelo sistema.
No Linux Debian por exemplo o logrotate renomeia esse arquivo com extensões númericas, liste o diretório /var/log para visualizar os arquivos no seu sistema. Em nosso caso o arquivo anterior é o wtmp.1, para exibir os acessos use o comando abaixo:
> last -f /var/log/wtmp.1
Uma outra dica é usar o comando com as opções a seguir que mostrará quais usuários acessaram o servidor nos últimos 100 dias:
> lastlog -b 0 -t 100
* O comando lastlog sem argumentos exibirá todos os usuários, inclusive os de sistema, que tiveram ou não acesso ao sistema.