In impostazioni di sistema controlla i log (sono anche in /var/log/ messages e syslog) di connessione (dato che lo spegni non può averli ripuliti) e poi controlla che nessuno abbia aggiunto un utente in più e in /etc/syslog.conf che non abbia cambiato dei permessi. Cambia le password (utente e di root) con password complesse (esempio due o più lettere maiuscole più una decina minuscole più qualche numero) che anche se penso sia un problema di salto corrente non fa male.