>>131
第三者が su じゃないの。
/var/log/secure 辺りを、root権があるなら見てみるとか。