Después de un ataque de ransomware, sus archivos de OneDrive pueden estar cifrados, renombrados o eliminados. El atacante a menudo deja una nota de rescate pero no proporciona una clave de descifrado funcional. Microsoft OneDrive incluye herramientas de recuperación de archivos integradas que pueden restaurar sus datos a un estado anterior al ataque. Este artículo explica cómo usar el Historial de versiones, la Papelera de reciclaje y la función Restaurar de OneDrive para recuperar sus archivos después de eliminar el ransomware. También aprenderá cómo prevenir infecciones futuras revisando la configuración de seguridad clave.
Puntos clave: Recuperar archivos de OneDrive después de una limpieza de ransomware
- Papelera de reciclaje de OneDrive: Restaure archivos eliminados desde la Papelera de reciclaje del sitio dentro de los 93 días posteriores a la eliminación.
- Historial de versiones: Revierta archivos individuales a una versión guardada antes de que el ransomware los cifrara.
- Restaurar de OneDrive: Revierta todo su OneDrive a un punto en el tiempo hasta 30 días antes.
Cómo afecta el ransomware a los archivos de OneDrive
El ransomware cifra archivos en su equipo local. Si la sincronización de OneDrive está activa, las versiones cifradas se cargan en la nube y reemplazan los originales. El atacante también puede eliminar o renombrar archivos para que la recuperación parezca imposible. Debido a que OneDrive conserva versiones anteriores de archivos y elementos eliminados durante un tiempo limitado, puede restaurar copias no cifradas sin pagar el rescate.
El factor clave es el momento. OneDrive mantiene el historial de versiones hasta 500 versiones principales por archivo. Los archivos eliminados permanecen en la Papelera de reciclaje de primera etapa durante 30 días, luego pasan a la Papelera de reciclaje de segunda etapa durante 63 días adicionales. La función Restaurar de OneDrive puede revertir todo su OneDrive a cualquier punto de los últimos 30 días. Siempre que el ransomware no haya eliminado permanentemente archivos más allá de estas ventanas de retención, la recuperación es posible.
Pasos para recuperar archivos de OneDrive después de una limpieza de ransomware
Método 1: Restaurar archivos individuales usando el Historial de versiones
- Abra OneDrive en un navegador web
Vaya ahttps://onedrive.live.come inicie sesión con su cuenta de trabajo o escuela de Microsoft 365. Navegue a la carpeta que contiene el archivo cifrado. - Seleccione el archivo y vea el historial de versiones
Haga clic derecho en el archivo y elija Historial de versiones. Se abre un panel que lista todas las versiones guardadas con marcas de tiempo. - Identifique una versión anterior al ataque
Busque una versión con fecha anterior al inicio de la infección por ransomware. El ransomware a menudo cifra archivos en una ventana corta, por lo que una versión de unas horas o un día antes probablemente no esté cifrada. - Restaure la versión anterior
Haga clic en los tres puntos junto a la versión deseada y seleccione Restaurar. El archivo vuelve a esa versión inmediatamente. Descargue una copia a su equipo local para confirmar que el archivo está intacto.
Método 2: Recuperar archivos eliminados de la Papelera de reciclaje
- Abra la Papelera de reciclaje de OneDrive
En el panel de navegación izquierdo de OneDrive en la web, haga clic en Papelera de reciclaje. Los archivos eliminados aparecen en una lista. - Revise la Papelera de reciclaje de segunda etapa
Si no ve el archivo, desplácese hasta la parte inferior de la página y haga clic en Papelera de reciclaje de segunda etapa. Los archivos eliminados de la papelera de primera etapa permanecen aquí hasta 63 días más. - Seleccione archivos y restaure
Marque la casilla junto a cada archivo que desee recuperar. Haga clic en Restaurar en la parte superior de la página. Los archivos vuelven a sus ubicaciones originales. - Verifique los archivos restaurados
Navegue a la carpeta original y abra el archivo. Si aún está cifrado, use el Historial de versiones para revertir a una versión anterior.
Método 3: Use Restaurar de OneDrive para revertir toda la cuenta
- Abra la configuración de OneDrive
En OneDrive en la web, haga clic en el icono de engranaje en la esquina superior derecha y seleccione Configuración de OneDrive. - Vaya a la pestaña Restaurar
En la navegación izquierda, haga clic en Restaurar su OneDrive. Aparecen un calendario y un gráfico de actividad. - Elija un punto de restauración
Use el calendario para seleccionar una fecha y hora anteriores al ataque de ransomware. El gráfico de actividad muestra los cambios en los archivos. Haga clic en un punto del gráfico para seleccionar una hora de restauración específica. El valor predeterminado es hace 24 horas, pero puede retroceder hasta 30 días. - Confirme e inicie la restauración
Haga clic en Restaurar. Una advertencia indica que todos los cambios posteriores a la hora seleccionada se sobrescribirán. Haga clic en Sí para continuar. El proceso de restauración puede tardar desde unos minutos hasta varias horas según la cantidad de archivos. - Revise los resultados
Una vez completada la restauración, explore sus carpetas de OneDrive. Los archivos ahora deberían estar sin cifrar. Si algunos archivos permanecen cifrados, repita el proceso con un punto de restauración anterior o use el Historial de versiones en esos archivos específicos.
Si la recuperación de OneDrive no funciona como se espera
Restaurar de OneDrive no muestra puntos de restauración disponibles
Esta función requiere una suscripción a Microsoft 365. Si no ve ningún calendario ni gráfico de actividad, es posible que su inquilino tenga la función deshabilitada. Comuníquese con su administrador de Microsoft 365 para habilitar Restaurar de OneDrive en el centro de administración de SharePoint en Configuración > OneDrive. También verifique que el ataque de ransomware ocurrió dentro de los últimos 30 días.
El Historial de versiones no muestra versiones anteriores al ataque
OneDrive conserva el historial de versiones hasta 500 versiones por archivo. Si el ransomware abrió y guardó el archivo muchas veces, las versiones más antiguas pueden haber sido desplazadas. En ese caso, use Restaurar de OneDrive para revertir toda la biblioteca a antes del ataque.
Los archivos siguen cifrados después de la restauración
Si el punto de restauración que seleccionó fue posterior a que el ransomware cifrara los archivos por primera vez, las copias restauradas también estarán cifradas. Elija un punto de restauración anterior. Si el ransomware eliminó los archivos originales y el punto de restauración es posterior a la eliminación, los archivos no volverán. En ese escenario, recupere primero de la Papelera de reciclaje, luego use el Historial de versiones en los archivos recuperados.
Restaurar de OneDrive vs Historial de versiones vs Papelera de reciclaje: diferencias clave
| Elemento | Restaurar de OneDrive | Historial de versiones | Papelera de reciclaje |
|---|---|---|---|
| Alcance | Toda la cuenta de OneDrive | Archivo individual | Solo archivos eliminados |
| Período de retención | Hasta 30 días atrás | Hasta 500 versiones por archivo | 93 días en total (30 + 63) |
| Mejor caso de uso | Cifrado o eliminación generalizados | Uno o unos pocos archivos cifrados | Archivos eliminados accidentalmente |
| Requiere administrador | Sí, si la función está deshabilitada | No | No |
Después de recuperar sus archivos, revise la configuración de sincronización de OneDrive. Habilite Known Folder Move para hacer copia de seguridad de sus carpetas Escritorio, Documentos e Imágenes. Configure File Restore para que le notifique sobre eliminaciones a gran escala. Configure la autenticación multifactor en su cuenta de Microsoft 365 para reducir el riesgo de robo de credenciales que a menudo permite el ransomware.