А по-русски ?
Кто куда и как заходил ?
Подозреваю, что нужно системные журналы посмотреть на предмет подключения от имени той или иной учётной записи и откуда было подключение.
+(2) Логи винды тоже не сильно помогут, можно попробовать определить всех пользователей которые в этот момент времени были на терминале (и то с погрешностью, т.к. могут сказать, что комп выключили, а сеанс без них висел)
Вообще-то, в данном случае помогает настройка аудита.
Так как будет записана и запись о входе пользователя и запись о доступе к программе. И всё будет в системных журналах, которые пользователям не очень-то и доступны.