Помогите понять, кто удалил пользователя.

Ситуация такова:
Заглядывал вчера в логи, все было нормально.
Заглянул сегодня, появилась вот такая хрень.

Nov 20 08:37:47 work userdel[31724]: delete user `Andrew'
Nov 20 08:37:47 work userdel[31724]: removed group `Andrew' owned by `Andrew'

Кто мог удалить этого пользователя?
По времени захода на машину, никто кроме меня не заходил, да и время моего вчерашнего захода тоже совпадает. Кроме меня никто не знает логина и естествено пароля суперпользователя.В логах кроме этих записей все вроде нормально.Как можно посмотреть кто и когда запустил команду "userdel" и от имени кого.Новых пользователей в системе не регистрировалось.Хм,непонятка какая то.Хелп.