A conta que ninguém criou

O caso da Pampa Market continua. Você já sabe que o atacante entrou no servidor bd-interno às 02:14:07 do dia 20, como usuario_backup, vindo de 203.0.113.45. A pergunta de agora é se ele deixou uma porta aberta para voltar mesmo depois de a senha ser trocada.

Este auth.log cobre a madrugada inteira. Algumas contas foram criadas no servidor nesse período. Qual conta o atacante criou para manter o acesso?

Responda com o nome da conta, como aparece no log: tocaia{nome_da_conta}.