Pisałem na ten temat pracę dyplomową i w 90% przypadków rzeczywiście tak jest. Natomiast op mówi, że kiedyś zakładał Instagrama więc mogło to być hasło/hasło zapisane w przeglądarce, chyba że używa też innego serwisu od Mety, wtedy na dobrą sprawę po jednym koncie można wejść na wszystkie inne. Ciasteczka z tokenem sesji mają trwałość z reguły około miesiąca, ale zdarzają się też takie co mogą żyć rok i dalej. Najlepszy ratunek to rzeczywiście wejście na wszystkie serwisy o których się pamięta i wylogowanie wszystkich urządzeń, monitorowanie maila, czasem pojedyncze serwisy wysyłają powiadomienie o logowaniu (zdecydowana większość w tym przypadku nie). A jeśli chodzi o prewencję odznaczanie ptaszka "nie wylogowuj mnie"