who 에 보이는데 ps 에 없다면 utmp 기록만 남은 상태입니다. 실제 프로세스를 확인하려면 ps -ef 로 pts 번호를 보고, 없다면 기록을 정리하세요. 낯선 접속이라면 침해 흔적을 먼저 확인해야 합니다.