¿OneDrive es una copia de seguridad? Qué pasa cuando se cifran o eliminan todos los archivos

Imagina dos escenarios. En el primero, un ransomware cifra en pocos minutos cientos de archivos de un PC —contratos, informes, hojas de cálculo— y OneDrive sincroniza obedientemente las versiones dañadas a la nube. En el segundo, todos los archivos se eliminan de OneDrive y se vacían las dos papeleras de reciclaje: lo hace un empleado que se va de la empresa o alguien que conoce su contraseña. Ocurre más a menudo de lo que a nadie le gusta admitir, y ese trabajo pertenece a la empresa.

¿Está tu empresa preparada para cada uno de estos escenarios? Lo pusimos a prueba, y la respuesta depende de si tienes una copia fuera del OneDrive del usuario.

Transparencia. Desarrollamos OneMount, una app de Windows para SharePoint y OneDrive que, entre otras cosas, hace copias de seguridad. Por eso primero van la metodología y los números, y donde OneDrive cumplió, lo decimos sin rodeos. La mitad del esquema de abajo funciona sin nuestro producto.

Eliminar todos los archivos, papeleras incluidas: cinco clics

Empecemos por el peor caso: alguien con acceso a la cuenta —un empleado a punto de irse o un atacante con su contraseña— elimina las carpetas de trabajo y borra las huellas. Lo hicimos como un usuario de prueba normal, no como administrador. La carpeta Finance eliminada de Documentos —39 MB de informes y hojas de cálculo— va a parar a la papelera de reciclaje de OneDrive, y ahí mismo el mismo usuario ve Delete junto a Restore.

Si se puede borrar por completo lo comprobamos con un archivo grande de 543 MB: para OneDrive, una carpeta de documentos y un único archivo se comportan igual.

1. Lo eliminamos en OneDrive en la web: fue a la papelera de reciclaje.
2. Lo eliminamos de la papelera: pasó a la papelera de reciclaje de segunda fase.
3. Lo eliminamos de la papelera de segunda fase, y desapareció de todas partes.

Hemos observado El archivo desapareció para siempre, sin necesidad de aprobación de un administrador. La razón es sencilla: en su propio OneDrive el usuario es el propietario, el administrador de la colección de sitios. Puede eliminar cualquier cosa y vaciar las dos papeleras. Un ransomware que se ejecute con su cuenta puede hacer lo mismo.

Así que OneDrive te salva bien de los errores accidentales. No protege contra la eliminación deliberada de todos los archivos, porque todo lo que tiene vive en la misma cuenta. A continuación: qué puede hacer OneDrive en realidad, cómo lo probamos y cómo mantener una copia que el usuario no pueda borrar.

Sincronizar no es hacer copia de seguridad

La mayoría de los debates sobre «¿OneDrive es una copia de seguridad?» mezclan dos cosas. La sincronización hace que todas las copias sean idénticas lo antes posible: justo lo que quieres mientras trabajas, y justo lo que te perjudica el día que algo se rompe, porque el daño también se sincroniza. Una copia de seguridad es una instantánea de un momento concreto que los cambios posteriores no tocan.

La confusión no es culpa de los usuarios. Windows 11 ofrece hacer una «copia de seguridad» del Escritorio, Documentos e Imágenes, pero lo que activa en realidad es la sincronización de carpetas con OneDrive, a menudo durante la configuración de un PC nuevo, como informaron PCWorld y Office Watch. Llamarlo copia de seguridad no cambia cómo funciona.

Qué conserva Microsoft por ti: historial de versiones, papelera de reciclaje, Restore your OneDrive

Para cuentas profesionales y educativas (OneDrive para la Empresa y SharePoint Online), Microsoft dice:

Es un buen conjunto de herramientas, y la respuesta honesta no es «OneDrive perderá tus archivos». Que la nube dañe un archivo por sí sola es prácticamente un no-problema. El riesgo real es un archivo dañado por ti, por una app de tu PC o por un atacante, y que la sincronización traslade fielmente ese daño a la nube.

Tres pruebas de recuperación en OneDrive

Una máquina virtual dedicada con Windows 11 y el cliente estándar de OneDrive, una cuenta de prueba sin derechos de administrador (Microsoft 365 Empresa Estándar), Escritorio y Documentos redirigidos a OneDrive y la configuración predeterminada del tenant. El conjunto de datos: 263 archivos realistas (Word, Excel, PDF, PowerPoint, imágenes), 188 MB, generados con un script. Antes de cada paso destructivo registramos sumas de comprobación SHA-256: un archivo cuenta como intacto solo si coincide byte a byte con el original.

Prueba 1. Un archivo dañado: OneDrive cumplió

El caso más cotidiano: una app se bloquea al guardar o alguien guarda un contenido equivocado. Sobrescribimos un libro de Excel con bytes aleatorios del mismo tamaño.

Hemos medido La versión dañada llegó a la nube en segundos (en una de tres ejecuciones, en 2 min 23 s). Recuperación: Explorador de archivos → clic derecho en el archivo → OneDrive → Version history → versión anterior → Restore. En un plazo de 30 segundos a 3 minutos el archivo del PC volvió a coincidir byte a byte con el original.

• Hasta que el PC se pone al día, el archivo sigue pareciendo dañado, aunque la copia en la nube esté bien. No restaures dos veces.
• Varios guardados seguidos pueden fusionarse en una sola versión: «cada guardado es una versión» no está garantizado.
• Abrir un archivo en Excel para la web crea una versión nueva, incluso sin cambios. Cuando busques una versión buena, revisa el historial en lugar de abrir archivos uno tras otro.

Prueba 2. Una carpeta eliminada: un clic

Eliminamos una carpeta de documentos financieros —58 archivos, 39,4 MB— con la tecla Supr de siempre. En 10 segundos había desaparecido de la nube. En la papelera de reciclaje de OneDrive apareció como una sola entrada, y Restore devolvió 58 de 58 archivos en segundos, con la estructura de carpetas incluida.

Dos pequeños detalles con consecuencias. Hay dos papeleras de reciclaje: la de Windows vive solo en ese PC, así que con un portátil averiado o robado solo sirve la papelera de OneDrive. Y los archivos restaurados vuelven como «solo en línea» (Files On-Demand): no se abren sin conexión a internet.

Prueba 3. Todo dañado, y nadie nos avisó

Un ransomware o un script defectuoso no daña un archivo: daña todo lo que tiene a su alcance. Dañamos el contenido de todo el Escritorio y los Documentos del usuario de prueba, incluido todo lo que se había acumulado en días de pruebas. Los nombres, las carpetas y los tamaños no cambiaron: a primera vista todo está en su sitio, hasta que intentas abrirlo.

Hemos medido 531 de 532 archivos (~778 MB) en 123 segundos. Hemos observado OneDrive no mostró ningún aviso de cambio masivo, solo «sincronizado». La papelera estaba vacía: no se había eliminado nada.

Vía 1: el historial de versiones. Donde existe una versión buena, restaura correctamente. Pero hay que restaurar cada archivo por separado: abrir, historial, versión, Restore, siguiente. Para cientos de archivos son horas de clics idénticos.

Y no todos los archivos tienen una versión buena. Hemos observado Un documento de texto tenía una sola versión en su historial, ya dañada. No había adónde volver. Lo encontramos por casualidad; cuántos archivos así se esconden entre los 531 es imposible comprobarlo a mano.

Vía 2: una copia de seguridad junto a la sincronización. Por su naturaleza, la sincronización repite cada cambio, útil o dañino. Así que lo que le añades es lo que OneDrive no tiene: una instantánea periódica de tus carpetas que nadie modifica después de crearla. Un Escritorio dañado hoy no toca la instantánea de ayer, y en lugar de restaurar cientos de archivos uno por uno restauras el estado de una fecha concreta.

Para la prueba usamos la función de copia de seguridad de OneMount, nuestra app que complementa OneDrive en lugar de sustituirlo: según una programación, empaqueta carpetas del PC en archivos comprimidos con fecha en SharePoint u OneDrive. Elegimos la copia hecha antes del ataque, y todo el Escritorio volvió en un solo paso a una carpeta aparte con la fecha de la copia en el nombre. Los archivos existentes no se sobrescriben, así que puedes comparar con calma y quedarte con lo que necesites. El mismo principio sirve con cualquier herramienta de copias de seguridad: lo importante es que la copia viva separada de los archivos que se sincronizan.

Nuestra interpretación OneDrive también tiene Restore your OneDrive (Restaurar OneDrive): revertir todo el OneDrive a un momento anterior al ataque, dentro de 30 días. Para un daño masivo es una herramienta integrada potente, siempre que las versiones estén intactas. Pero también revierte todo el trabajo útil hecho desde entonces, y no ayuda si las papeleras se vaciaron junto con los archivos, como en el escenario del principio de este artículo.

Ransomware en 2026: por qué atacar OneDrive y SharePoint es más fácil de lo que crees

«Eso no nos va a pasar, es complicado» es la reacción más habitual. Pero el ransomware no necesita hackear Microsoft 365. Le basta con ejecutarse en la sesión del usuario —desde un correo, una memoria USB o una utilidad «práctica»—: a partir de ahí tiene los mismos derechos que la persona que está frente al teclado. Y puede llegar a los archivos en la nube de tres maneras.

1. En local, como el ransomware clásico. Daña los archivos en el disco, y el cliente de OneDrive sube obedientemente las versiones dañadas a la nube, y también a las bibliotecas de SharePoint sincronizadas. Es justo lo que vimos en la prueba 3: 531 archivos en 2 minutos, sin un solo aviso.
2. A través del navegador. El usuario ya ha iniciado sesión en Microsoft 365, así que el programa puede abrir el navegador con su perfil o robar las cookies de sesión y actuar en su nombre en todos los sitios a los que tiene acceso. La autenticación multifactor no ayuda aquí: protege el inicio de sesión, no una sesión ya abierta.
3. A través de la API. Con el token del usuario, bastan unas pocas solicitudes a SharePoint o a Microsoft Graph para listar los sitios disponibles, sobrescribir o eliminar archivos y vaciar las papeleras. Sin ventanas, sin clics.

Investigación Ya en 2022 Proofpoint describió un escenario específico para SharePoint y OneDrive: un atacante en una cuenta comprometida reduce a uno el límite de versiones de un archivo y lo cifra varias veces, de modo que no queda ninguna versión anterior buena. No hacen falta derechos de administrador, cada paso se puede automatizar con las API y PowerShell, y Microsoft respondió que las funciones se comportan según lo previsto (Proofpoint). Una técnica de robo de sesión relacionada —una extensión de navegador que roba cookies de Entra ID y elude la MFA en Outlook, Teams, SharePoint y OneDrive— fue demostrada por investigadores en 2025 con el nombre de Cookie-Bite.

La IA eliminó la última barrera

Antes, escribir un script así requería un desarrollador con experiencia. Ahora puede hacerlo cualquiera que sepa describir la tarea con palabras. Investigación En agosto de 2025 ESET descubrió PromptLock, el primer ransomware conocido que genera sus propios scripts con un modelo de lenguaje; por ahora es un prototipo, no un ataque real (ESET). Ese mismo mes Anthropic informó de un delincuente con conocimientos de programación básicos que usó IA para crear y vender ransomware listo para usar por 400–1200 USD cada uno (Anthropic). La conclusión es sencilla: todo lo que hicimos a mano en este artículo —dañar cientos de archivos, eliminar carpetas, vaciar papeleras— hoy cabe en un pequeño script que cualquiera puede escribir.

Cuando tu contraseña de Windows es también la de Microsoft 365

En muchas empresas las cuentas se sincronizan desde Active Directory local con Microsoft Entra ID: la gente inicia sesión en Windows y en Microsoft 365 con la misma contraseña. Es cómodo, pero un PC o un dominio comprometido se convierte también en una llave de la nube. Microsoft dice En agosto de 2025 Microsoft describió un ataque del grupo Storm-0501: los atacantes se hicieron con el Active Directory local y con un servidor de Entra Connect, restablecieron la contraseña de una cuenta sincronizada con el rol de Administrador global que no tenía MFA, y la nueva contraseña se sincronizó con la nube. Después exfiltraron datos, eliminaron instantáneas, puntos de restauración y copias de seguridad en Azure, y exigieron el rescate por Teams (Microsoft Security Blog). Las copias de seguridad en el mismo tenant fueron lo primero que destruyeron.

Por qué OneDrive no es una copia de seguridad: la regla 3-2-1

La clásica regla 3-2-1 de copias de seguridad: tres copias de tus datos, en dos tipos de almacenamiento distintos, con una guardada aparte del resto. La variante moderna 3-2-1-1-0 añade una copia inmutable y cero errores en las pruebas de restauración. Con OneDrive solo tienes una copia reflejada en varios lugares: el historial de versiones y la papelera viven en la misma cuenta. No cubren situaciones como estas:

• todos los archivos eliminados y las dos papeleras vaciadas, por un empleado que se va o por un atacante con su contraseña;
• una cuenta comprometida o eliminada, una licencia desactivada;
• un error de un administrador o de un script que purga versiones o papeleras;
• una eliminación que se descubre pasados más de 93 días.

Copia de seguridad 3-2-1 en Microsoft 365: tres pasos

El objetivo: añadir a OneDrive una copia programada independiente que no se pueda borrar desde la cuenta del usuario y que no crezca sin fin. Todo con tu propio Microsoft 365, sin nubes de terceros.

Paso 1. Una carpeta de copias de solo adición en SharePoint

SharePoint no tiene un nivel de permisos integrado de «puede añadir, no puede eliminar», pero es fácil crearlo. Necesitas ser propietario del sitio.

1. Nivel de permisos. ⚙ → Site permissions → Advanced permissions settings → Permission Levels → Contribute → Copy Permission Level. Llámalo Backup Append-Only. Desmarca solo tres permisos: Edit Items, Delete Items, Delete Versions.
2. Permisos únicos en la carpeta. Carpeta de copias → ⋯ → Manage access → Advanced settings → Stop Inheriting Permissions.
3. Quitar los derechos de edición. Quita de la carpeta el grupo de miembros del sitio (Edit): los permisos efectivos se combinan entre todos los grupos, y con Edit un usuario podría eliminar archivos. Mantén el grupo de propietarios.
4. Conceder solo adición. Grant Permissions → un grupo de seguridad con los usuarios cuyas copias llegarán aquí → el nivel Backup Append-Only, sin correo de invitación.

Hemos observado Como usuario normal, subir un archivo comprimido nuevo funciona; modificar o eliminar uno existente devuelve No access; descargar uno para restaurar funciona.

Esto es un permiso, no almacenamiento inmutable: el propietario del sitio y el administrador del tenant siguen pudiendo eliminar. Protege frente a errores de los usuarios y ransomware en un PC, no frente a un administrador comprometido.

Paso 2. Rotación de copias sin la papelera de reciclaje

Un quebradero de cabeza del que rara vez se escribe: las copias antiguas eliminadas van a la papelera del sitio y se quedan ahí hasta 93 días, comiéndose la cuota. Con un archivo comprimido diario de 5 GB, siempre hay unos 450 GB de datos «eliminados» en la papelera. Además, los usuarios del paso 1 no pueden eliminar: alguien más tiene que hacer la limpieza.

La solución es un flujo de Power Automate que se ejecute como propietario del sitio. Cuando aparece en la carpeta un archivo comprimido nuevo <Origen> yyyy-MM-dd HHmmss.zip, el flujo toma los archivos del mismo origen en la misma carpeta, conserva los N más recientes y elimina los anteriores de forma permanente, pero solo los que tienen más de D días (7 de forma predeterminada). OneMount guarda las copias de cada PC en su propia subcarpeta, así que «Desktop» de dos equipos se cuenta por separado. Hemos medido La acción estándar «Delete file» envía el archivo a la papelera; la eliminación permanente es una solicitud DELETE mediante «Send an HTTP request to SharePoint»: ninguna de las dos papeleras contenía los archivos eliminados, y cada ejecución del flujo tardó alrededor de medio segundo.

Dos flujos: rotación y limpieza de PC abandonados

Fija el umbral de «abandonado» por encima de unas vacaciones y de tu programación de copias más espaciada: para el flujo, un PC apagado dos semanas es idéntico a uno averiado, y su historial se reduciría a una sola copia.

Opción A · El generador: recomendado (10 minutos)

El generador no instala nada en tu tenant: crea dos paquetes .zip que Power Automate importa como flujos listos: manifest.json con el nombre y la descripción, y definition.json con todo el flujo, con tu sitio, biblioteca, carpeta y números ya rellenados. Para eso existe precisamente: cinco clics en lugar de un par de docenas de campos y expresiones.

1. Descarga onemount-retention-flow.zip, descomprímelo y ejecuta Create-RetentionFlow.bat como propietario del sitio (con la sesión del propietario iniciada también en el navegador).
2. Pega un enlace a la carpeta de copias desde la barra de direcciones: el generador deduce el sitio, la biblioteca y la carpeta. En la pequeña página con el ID de la biblioteca pulsa Ctrl+A, Ctrl+C: la ventana del generador lo recoge.
3. Responde a dos bloques de preguntas (Intro mantiene el valor predeterminado; cada una tiene una pista). Junto al script obtendrás OneMount-1-Rotation-….zip, OneMount-2-Cleanup-….zip y OneMount-IMPORT-STEPS-….txt: los pasos de importación con tus propios nombres y números.
4. Importa cada paquete: Power Automate → My flows → Import → Import Package (Legacy) → Upload. Deja la fila del flujo en Create as new; en la fila roja SharePoint Connection elige Select during import → la conexión del propietario del sitio (si aún no existe, + Create; haz clic en la fila para que aparezca una ✓) → Save → Import.
5. Activa los dos flujos en My flows: un flujo importado está desactivado. El flujo 1 es Automated, el flujo 2 es Scheduled. Desactiva o elimina cualquier flujo de retención anterior para la misma carpeta.

Comprobar que funciona. El flujo 1 se dispara con los archivos creados después de activarlo, con un retraso de hasta ~5 minutos (con una licencia de Microsoft 365 el desencadenador consulta la carpeta más o menos con esa frecuencia): deja una copia nueva y revisa el historial de ejecuciones. Una ejecución correcta sin eliminaciones es normal mientras no haya más de N copias o sean más recientes que la antigüedad mínima. El flujo 2 no tiene que esperar a la noche: ábrelo → Test → Manually → Run flow. Para probar la rotación, genera los paquetes con Create-RetentionFlow.bat -Keep 1 -MinAgeDays 0.

Opción B · Crear los flujos a mano

Útil para entender qué hay dentro, o si la importación de paquetes está bloqueada en tu entorno. Reglas generales: pega las expresiones desde la pestaña fx (o Edit in advanced mode en Filter array); nombra las acciones exactamente como se indica, porque las expresiones hacen referencia a ellas (un espacio se convierte en _: «Active sources» → body('Active_sources')). Sustituye OneMount_BackUP, las 7 copias, los 7 / 14 / 30 días y el ID de la biblioteca por tus propios valores.

Flujo 1 · Rotación Automated cloud flow · 7 pasos

1. Desencadenador: When a file is created (properties only) (SharePoint): elige Site Address y Library Name de la lista, con la conexión del propietario del sitio.
2. Condition, todas las filas unidas con And; a la izquierda la expresión, operador y valor como en la etiqueta:
   1 · contains → OneMount_BackUP

   triggerOutputs()?['body/{Path}']

   2 · ends with → .zip

   toLower(triggerOutputs()?['body/{FilenameWithExtension}'])

   3 · is greater or equal to → 3

   length(split(triggerOutputs()?['body/{FilenameWithExtension}'], ' '))

   4 · is equal to → 10 (fecha en el nombre)

   length(first(skip(split(triggerOutputs()?['body/{FilenameWithExtension}'], ' '), max(0, sub(length(split(triggerOutputs()?['body/{FilenameWithExtension}'], ' ')), 2)))))

3. Rama True → Compose: el nombre del origen sin fecha ni hora («Desktop 2026-10-20 230000.zip» → «Desktop»):
   Inputs

   join(take(split(replace(triggerOutputs()?['body/{FilenameWithExtension}'], '.zip', ''), ' '), max(0, sub(length(split(replace(triggerOutputs()?['body/{FilenameWithExtension}'], '.zip', ''), ' ')), 2))), ' ')

4. Get files (properties only): mismo sitio y biblioteca, Order By: Created asc; Settings → Pagination On, Threshold 5000 (sin esto el flujo solo ve 100 archivos).
5. Filter array: From: body/value de Get files; Edit in advanced mode: archivos comprimidos del mismo origen en la misma carpeta:
   Filter query

   @and(equals(item()?['{Path}'], triggerOutputs()?['body/{Path}']), endsWith(toLower(item()?['{FilenameWithExtension}']), '.zip'), equals(join(take(split(replace(item()?['{FilenameWithExtension}'], '.zip', ''), ' '), max(0, sub(length(split(replace(item()?['{FilenameWithExtension}'], '.zip', ''), ' ')), 2))), ' '), outputs('Compose')))

6. Otro Filter array llamado Filter old enough: fuera de las N más recientes y con más antigüedad que la mínima:
   From · N = 7

   take(body('Filter_array'), max(0, sub(length(body('Filter_array')), 7)))

   Filter query · 7 días

   @less(ticks(item()?['Created']), ticks(addDays(utcNow(), -7)))

7. Apply to each sobre Body de Filter old enough → dentro, Send an HTTP request to SharePoint: tu sitio, Method DELETE, Headers IF-MATCH = *: eliminación permanente que se salta la papelera. El ID de la biblioteca está en la dirección de la configuración de la biblioteca, después de List=. Save.
   Uri

   concat('_api/web/lists(guid''<ID de la biblioteca>'')/items(', item()?['ID'], ')')

← desplázate hacia los lados · haz clic en una captura para ampliarla →

Flujo 2 · Limpieza de PC abandonados Scheduled cloud flow · 9 pasos

1. Recurrence: Interval 1, Frequency Day, tu zona horaria, At these hours 3, At these minutes 0.
2. Get files (properties only): sitio y biblioteca, Order By: Created desc (las más recientes primero, para que en una biblioteca grande un PC activo nunca parezca abandonado); Pagination 5000.
3. Filter array llamado Backups: From body/value; solo archivos comprimidos de OneMount en tu carpeta:
   Filter query

   @and(contains(item()?['{Path}'], 'OneMount_BackUP'), endsWith(toLower(item()?['{FilenameWithExtension}']), '.zip'), greaterOrEquals(length(split(item()?['{FilenameWithExtension}'], ' ')), 3), equals(length(first(skip(split(item()?['{FilenameWithExtension}'], ' '), max(0, sub(length(split(item()?['{FilenameWithExtension}'], ' ')), 2))))), 10))

4. Filter array «Recent»: From Body de Backups; copias de los últimos 14 días:
   Filter query · 14 días

   @greater(ticks(item()?['Created']), ticks(addDays(utcNow(), -14)))

5. Select «Active sources»: From Body de Recent; Map en modo texto (el botón a la derecha de Map): una clave «carpeta|origen»:
   Map

   concat(item()?['{Path}'], '|', join(take(split(replace(item()?['{FilenameWithExtension}'], '.zip', ''), ' '), max(0, sub(length(split(replace(item()?['{FilenameWithExtension}'], '.zip', ''), ' ')), 2))), ' '))

6. Compose «Active set»: la lista sin duplicados:
   Inputs

   union(body('Active_sources'), body('Active_sources'))

7. Filter array «Abandoned»: From Body de Backups; copias de orígenes que no están activos:
   Filter query

   @not(contains(outputs('Active_set'), concat(item()?['{Path}'], '|', join(take(split(replace(item()?['{FilenameWithExtension}'], '.zip', ''), ' '), max(0, sub(length(split(replace(item()?['{FilenameWithExtension}'], '.zip', ''), ' ')), 2))), ' '))))

8. Condition: length(body('Abandoned')) is greater than 0. En la rama True, tres acciones: Select «Abandoned keys» (From Body de Abandoned, Map: la misma expresión que en el paso 5); Select «Mark newest»: marca la última copia de cada origen; Filter array «To delete»: todo excepto la última copia, y la propia última copia cuando supera los 30 días:
   Mark newest · From

   range(0, length(body('Abandoned')))

   Mark newest · Map: ID

   body('Abandoned')[item()]?['ID']

   Mark newest · Map: Created

   body('Abandoned')[item()]?['Created']

   Mark newest · Map: Newest

   not(contains(take(body('Abandoned_keys'), item()), body('Abandoned_keys')[item()]))

   To delete · From: Body de Mark newest · Filter query · 30 días

   @or(not(item()?['Newest']), less(ticks(item()?['Created']), ticks(addDays(utcNow(), -30))))

9. En la misma rama, después de To delete: Apply to each sobre Body de To delete con la misma Send an HTTP request to SharePoint DELETE que en el flujo 1. Save.

← desplázate hacia los lados · haz clic en una captura para ampliarla →

Paso 3. Copias de seguridad programadas

Los pasos 1 y 2 funcionan con cualquier herramienta que deje archivos comprimidos con fecha en SharePoint. Nosotros usamos OneMount: un asistente de cuatro pasos (dirección, qué copiar, dónde y con qué frecuencia).

• Instantáneas, no sincronización. Cada ejecución crea un archivo comprimido nuevo con fecha en el que nada vuelve a escribir.
• Funciona con una carpeta de solo adición. OneMount comprueba los permisos por sí mismo y lo indica en la tarjeta de la copia. Los archivos grandes pasan por el OneDrive del usuario y la copia del lado del servidor de SharePoint: basta con el permiso de añadir.
• En ambas direcciones. Carpetas del PC a SharePoint u OneDrive; bibliotecas de SharePoint a un disco local o NAS: la copia fuera de Microsoft 365 que exige la regla 3-2-1.
• Restaura todo el conjunto a la vez, directamente desde la nube; los archivos existentes no se sobrescriben.

Hemos observado Como usuario normal, una copia del Escritorio de 510,8 MB llegó a la carpeta de solo adición, una segunda copia del mismo día quedó a su lado, y el usuario no pudo eliminar ninguno de los dos archivos.

Qué incluir en la copia de seguridad: las bibliotecas compartidas de SharePoint importan tanto como OneDrive

Hasta ahora hemos hablado de los archivos de un usuario. Pero en la mayoría de las organizaciones los datos más valiosos viven en las bibliotecas de sitios compartidos de SharePoint: contratos, contabilidad, documentos de RR. HH., proyectos. Los archivos de Microsoft Teams también son bibliotecas de sitios. Y ahí el riesgo suele ser mayor que en el almacenamiento personal:

• una persona, consecuencias para todo el departamento. Un miembro del sitio con derechos de edición puede eliminar una carpeta en la que trabajan decenas de compañeros, y un propietario del sitio puede además vaciar las dos papeleras;
• el daño llega más lejos. Los archivos cifrados en un PC se sincronizan con la biblioteca y, desde ahí, con los equipos de todos los que la sincronizan;
• se nota tarde. Una carpeta compartida es «de nadie»: los archivos que faltan muchas veces se buscan cuando solo quedan unos días en la papelera.

Así que fija las prioridades según lo que le costaría al negocio perderlos, no según dónde estén los archivos:

OneMount hace copias de las bibliotecas de sitios con el mismo mecanismo que las carpetas del PC: la dirección «De la nube a este PC», instantáneas con fecha según una programación y restauración de todo el conjunto en una carpeta aparte. Cómo encajarlo en tu infraestructura lo decide el administrador. Una opción típica es un equipo o servidor dedicado siempre encendido: OneMount, con la sesión iniciada en una cuenta que puede leer las bibliotecas necesarias, escribe las copias en un disco local o un NAS. Esa copia vive fuera de Microsoft 365 —justo la copia separada que pide la regla 3‑2‑1—, y las tareas y su estado se pueden gestionar de forma centralizada.

¿Se pueden guardar copias de seguridad en el OneDrive del usuario?

Es tentador: cada empleado ya tiene 1 TB de OneDrive, mientras que el almacenamiento compartido del tenant puede no dar para copias del Escritorio de 20–40 GB de mil personas. Pero, como vimos al principio, el usuario es el propietario de su OneDrive y un nivel de permisos de solo adición no se aplica ahí: puede eliminar la copia junto con las dos papeleras.

Lo único que puede frenarlo es una directiva de retención de Microsoft Purview, configurada por un administrador de cumplimiento. Microsoft dice No impide que nadie elimine archivos ni vacíe papeleras, pero antes de una eliminación o un cambio guarda una copia en la biblioteca oculta Preservation Hold library, y ni el usuario ni un ransomware pueden quitarla de ahí hasta que termine el periodo (documentación). Eso es lo que impide que los archivos desaparezcan sin dejar rastro, ya sea por un empleado que se va o por un atacante con su contraseña.

1. Portal de Microsoft Purview → Data lifecycle management → Retention policies → New retention policy.
2. Ubicaciones: solo OneDrive accounts (para un piloto, unos pocos usuarios o un grupo).
3. Retain items for a specific period, por ejemplo 90 días; al final, Do nothing.
4. Tarda hasta 7 días en aplicarse; comprueba el estado con Get-RetentionCompliancePolicy -DistributionDetail. La biblioteca aparece tras el primer cambio o eliminación bajo la directiva: https://<tenant>-my.sharepoint.com/personal/<usuario>/PreservationHoldLibrary.

Otra opción: copia de seguridad de OneDrive en una carpeta de red

También puedes ir en sentido contrario: hacer una copia del OneDrive del usuario de la nube a un disco local o a una carpeta compartida de red (\\server\share). En el asistente de OneMount es la dirección «De la nube a este PC»: elige el OneDrive y, como destino, una carpeta de red en la que el usuario pueda escribir. Hemos observado La copia llegó como archivo comprimido a la carpeta de red, igual que a un disco normal. Una copia así vive fuera de Microsoft 365: la copia separada de la regla 3-2-1.

Una advertencia importante: copia lo que está en la nube. Si OneDrive lleva un tiempo sin sincronizar en el PC de alguien (pasa, y puede pasar desapercibido durante meses), los archivos más recientes simplemente no están en la nube, ni en la copia. Así que esta opción complementa una copia desde el PC, no la sustituye. Y recuerda: quien puede escribir en una carpeta de red normalmente también puede eliminar en ella; configura sus permisos por separado.

Nuestra interpretación Para una empresa cuyo trabajo le pertenece, la opción más fiable son las copias en un tenant aparte o en un sitio de SharePoint aparte con una carpeta de solo adición en la que los usuarios no sean propietarios. Una directiva de Purview en OneDrive es el último recurso cuando no hay ningún almacenamiento separado.

Qué es OneMount

OneMount es una app de Windows especializada en trabajar con SharePoint Online y OneDrive para la Empresa. Complementa OneDrive en lugar de sustituirlo:

• asigna bibliotecas de SharePoint y OneDrive como unidades en el Explorador de archivos, con letra de unidad, sin sincronización ni copias locales y con coautoría de Office;
• hace copias de seguridad programadas: carpetas del PC a SharePoint u OneDrive y bibliotecas de SharePoint a un disco local, con restauración en un solo paso;
• se gestiona de forma centralizada: desde el portal de administración o con directivas de grupo, y el administrador ve el estado de las copias en cada PC.

Sin nubes de terceros ni registro de apps en Azure: tus datos se quedan en tu Microsoft 365. Cómo asignar SharePoint como unidad de red →

Preguntas frecuentes: OneDrive y copias de seguridad

¿OneDrive es una copia de seguridad?

No en sentido estricto. OneDrive es sincronización con buenas funciones de recuperación: en nuestras pruebas, archivos sueltos dañados y eliminados volvieron byte a byte. Pero es una sola copia de tus datos en la misma cuenta, así que por sí solo no cumple la regla 3-2-1, y tras un daño masivo restaura los archivos de uno en uno.

¿Puede un empleado borrar todos sus archivos de OneDrive antes de irse de la empresa?

Sí. En su propio OneDrive el usuario es el propietario: puede eliminar archivos y vaciar las dos papeleras. Lo probamos con un archivo de 543 MB y desapareció sin ninguna intervención de un administrador. Puedes proteger el trabajo con una copia aparte que el usuario no controle, o con una directiva de retención de Microsoft Purview.

¿Qué pasa si un ransomware cifra todos los archivos de OneDrive o los elimina junto con la papelera?

OneDrive sincroniza un cifrado masivo con la nube como cualquier otro cambio. Los archivos sueltos vuelven desde el historial de versiones de uno en uno; todo el OneDrive se puede revertir con Restore your OneDrive a un momento anterior al ataque, dentro de 30 días, si te das cuenta a tiempo. La eliminación con las dos papeleras vaciadas es peor: un atacante con la cuenta del usuario tiene los mismos derechos que el propietario del OneDrive, los archivos sueltos no se pueden recuperar y el soporte de Microsoft solo puede revertir todo el OneDrive dentro de 14 días. Por eso necesitas una copia en un lugar del que esa cuenta no pueda eliminar.

¿Cuánto tiempo se conservan los archivos eliminados en OneDrive para la Empresa?

93 días en la papelera de reciclaje (primera y segunda fase en total). Lo que se elimina de la papelera de segunda fase ya no se puede recuperar como archivos sueltos.

¿Cuántas versiones guarda OneDrive?

500 por archivo de forma predeterminada. En modo automático, todas las versiones de los primeros 30 días, y las más antiguas se van reduciendo. El historial de versiones funciona con cualquier tipo de archivo: restauramos tanto archivos de Excel como PDF.

¿Se puede permitir en SharePoint añadir archivos pero no eliminarlos?

Sí: copia el nivel de permisos Contribute sin Edit Items, Delete Items ni Delete Versions, rompe la herencia en la carpeta y concede el nuevo nivel. Recuerda que los permisos de todos los grupos de un usuario se combinan.

¿Por qué se sigue llenando el almacenamiento del sitio aunque se eliminen las copias antiguas?

Porque los elementos eliminados se quedan en la papelera del sitio hasta 93 días y cuentan para la cuota. Elimina las copias antiguas con una solicitud REST DELETE: se salta la papelera.

¿Puede un ransomware cifrar archivos en OneDrive y SharePoint?

Sí. Un programa que se ejecuta en la sesión del usuario tiene sus derechos: cifra los archivos en el disco y OneDrive sube las versiones dañadas a la nube; o usa una sesión del navegador ya abierta o un token para modificar y eliminar archivos mediante la API en todos los sitios a los que el usuario tiene acceso. Si la contraseña de Windows se sincroniza con Microsoft 365, un PC o un dominio comprometido abre también la nube. Lo que te protege es una copia que no se pueda modificar desde la cuenta del usuario y una copia fuera del tenant.

¿Es más fiable un servidor de archivos que OneDrive?

No por sí mismo: depende de la configuración. Windows Server tiene instantáneas de carpetas compartidas (Shadow Copies of Shared Folders, la pestaña Versiones anteriores), y los NAS como Synology o QNAP hacen instantáneas del sistema de archivos. Pero son instantáneas programadas —de forma predeterminada en Windows a las 7:00 y las 12:00 los días laborables, hasta 64— y no un historial de cada cambio como el de OneDrive: lo que cambia entre instantáneas no se puede recuperar. La ventaja: un ransomware que cifra una carpeta compartida desde el PC de un usuario no puede tocar las instantáneas del servidor, y en un NAS se pueden hacer inmutables. Los puntos débiles: un atacante con derechos de administrador en el servidor elimina las instantáneas con un solo comando, y las instantáneas viven en el mismo servidor, así que no son una copia 3‑2‑1 separada. La conclusión es la misma que con OneDrive: necesitas una copia de seguridad aparte junto a él. Y si la gente está acostumbrada a una letra de unidad asignada, mantenla con SharePoint asignado como unidad.

¿Necesito Microsoft 365 Backup si ya tengo OneDrive?

Es la opción nativa si necesitas restaurar sitios y OneDrive completos hasta un año atrás y tienes un administrador que lo gestione. Cuesta 0,15 USD por GB al mes —unos 4500 USD al mes por 30 TB— y no cubre los archivos que solo existen en los PC.

---

Cómo se las arregla OneDrive con bibliotecas realmente grandes: la prueba de sincronización de 1 000 000 de archivos →

---

Fuentes

• Microsoft Learn: límites del historial de versiones en bibliotecas de documentos y OneDrive.
• Microsoft Learn: planificar el almacenamiento de versiones (modo automático).
• Microsoft: restaurar archivos o carpetas eliminados en OneDrive.
• Microsoft: Restore your OneDrive (restaurar OneDrive).
• Microsoft Learn: retención y eliminación en OneDrive.
• Microsoft Learn: directivas de retención para SharePoint y OneDrive.
• Microsoft Learn: cómo actuar ante un ransomware en SharePoint Online.
• Microsoft Learn: precios de Microsoft 365 Backup.
• Microsoft Security Blog: Storm-0501, del AD local al ransomware en la nube (agosto de 2025).
• Proofpoint: cifrado de archivos de SharePoint y OneDrive mediante el límite de versiones (junio de 2022).
• ESET: PromptLock, el primer ransomware conocido basado en IA (agosto de 2025).
• Anthropic: informe sobre el uso indebido de la IA, incluido el desarrollo de ransomware (agosto de 2025).
• Pruebas propias de SkylFlow, del 21 al 23 de octubre de 2026: una máquina virtual aislada, una cuenta de prueba sin derechos de administrador, sumas de comprobación SHA-256 y tiempos de cada ejecución.