В last команда извлекает только время входа в систему. Интересно раз, когда разблокировался экран. Также приветствуются любые косвенные способы получения этого.
Вы проверяли системные журналы? Вы должны увидеть сообщение об аутентификации в /var/log/secure когда кто-то пытается разблокировать экран.
Например, при использовании KDE, когда кто-то вводит неправильный пароль:
Mar 7 14:19:05 saurok kcheckpass[16479]: pam_sss(kscreensaver:auth): authentication failure; logname=username uid=248800001 euid=248800001 tty=:0 ruser= rhost= user=username
И успешная разблокировка:
Mar 7 14:19:09 saurok kcheckpass[16483]: pam_sss(kscreensaver:auth): authentication success; logname=username uid=248800001 euid=248800001 tty=:0 ruser= rhost= user=username
Ваш будет немного отличаться (этот компьютер находится в домене), но он должен присутствовать.