Czy OneDrive to kopia zapasowa? Co się dzieje, gdy wszystkie pliki zostaną zaszyfrowane lub usunięte

Wyobraź sobie dwa scenariusze. W pierwszym ransomware w kilka minut szyfruje setki plików na komputerze — umowy, raporty, arkusze — a OneDrive posłusznie synchronizuje uszkodzone wersje do chmury. W drugim ktoś usuwa z OneDrive wszystkie pliki i opróżnia oba kosze: odchodzący pracownik albo osoba, która zna jego hasło. Zdarza się to częściej, niż ktokolwiek chciałby przyznać, a efekty tej pracy należą do firmy.

Czy twoja firma jest gotowa na każdy z tych scenariuszy? Sprawdziliśmy to — a odpowiedź zależy od tego, czy masz kopię poza OneDrive użytkownika.

Zastrzeżenie. Tworzymy OneMount — aplikację Windows dla SharePoint i OneDrive, która między innymi wykonuje kopie zapasowe. Dlatego najpierw metodologia i liczby, a wszędzie tam, gdzie OneDrive sobie poradził, mówimy to wprost. Połowa opisanego niżej schematu działa w ogóle bez naszego produktu.

Usunięcie wszystkich plików razem z koszami: pięć kliknięć

Zacznijmy od najgorszego przypadku: ktoś z dostępem do konta — pracownik tuż przed odejściem albo atakujący z jego hasłem — usuwa foldery robocze i zaciera ślady. Zrobiliśmy to jako zwykły użytkownik testowy, nie administrator. Usunięty folder Finance z Dokumentów — 39 MB raportów i arkuszy — trafia do kosza OneDrive, a tam ten sam użytkownik widzi Delete obok Restore.

Czy da się go wymazać całkowicie, sprawdziliśmy na dużym pliku 543 MB — dla OneDrive folder dokumentów i pojedynczy plik zachowują się tak samo:

1. Usunęliśmy go w OneDrive w przeglądarce — trafił do kosza.
2. Usunęliśmy go z kosza — przeszedł do kosza drugiego poziomu.
3. Usunęliśmy go z kosza drugiego poziomu — i zniknął wszędzie.

Zaobserwowaliśmy Plik zniknął bezpowrotnie, a zgoda administratora nie była potrzebna. Powód jest prosty: we własnym OneDrive użytkownik jest właścicielem — administratorem zbioru witryn. Może usunąć wszystko i opróżnić oba kosze. Ransomware działające na jego koncie może to samo.

OneDrive dobrze więc ratuje przed przypadkowymi pomyłkami. Nie chroni przed celowym usunięciem wszystkich plików, bo wszystko, co ma, żyje na tym samym koncie. Dalej: co OneDrive naprawdę potrafi, jak to testowaliśmy i jak trzymać kopię, której użytkownik nie może wymazać.

Synchronizacja to nie kopia zapasowa

Większość dyskusji „czy OneDrive to kopia zapasowa?” miesza dwie rzeczy. Synchronizacja jak najszybciej wyrównuje wszystkie kopie — dokładnie tego chcesz w trakcie pracy i dokładnie to boli w dniu, w którym coś się psuje: uszkodzenia też się synchronizują. Kopia zapasowa to migawka z określonego momentu, której późniejsze zmiany nie dotykają.

To zamieszanie nie jest winą użytkowników. Windows 11 proponuje „kopię zapasową” Pulpitu, Dokumentów i Obrazów, ale w rzeczywistości włącza synchronizację folderów z OneDrive — często podczas konfiguracji nowego komputera, o czym pisały PCWorld i Office Watch. Nazwanie tego kopią zapasową nie zmienia sposobu działania.

Co Microsoft przechowuje za ciebie: historia wersji, kosz, przywracanie OneDrive

Dla kont służbowych i szkolnych (OneDrive dla Firm i SharePoint Online) — Microsoft mówi:

To przyzwoity zestaw narzędzi, a uczciwa odpowiedź nie brzmi „OneDrive zgubi twoje pliki”. Samoistne uszkodzenie pliku przez chmurę praktycznie się nie zdarza. Prawdziwe ryzyko to plik uszkodzony przez ciebie, przez aplikację na komputerze albo przez atakującego — i synchronizacja, która wiernie przenosi to uszkodzenie do chmury.

Trzy testy odzyskiwania plików w OneDrive

Dedykowana maszyna wirtualna z Windows 11 i standardowym klientem OneDrive, konto testowe bez uprawnień administratora (Microsoft 365 Business Standard), Pulpit i Dokumenty przekierowane do OneDrive, domyślne ustawienia dzierżawy. Zestaw danych: 263 realistyczne pliki (Word, Excel, PDF, PowerPoint, obrazy), 188 MB, wygenerowane skryptem. Przed każdym destrukcyjnym krokiem zapisywaliśmy sumy kontrolne SHA-256: plik uznajemy za nienaruszony tylko wtedy, gdy co do bajta zgadza się z oryginałem.

Test 1. Uszkodzony plik — OneDrive sobie poradził

Najbardziej codzienny przypadek: aplikacja zawiesza się podczas zapisu albo ktoś zapisuje niewłaściwą treść. Nadpisaliśmy skoroszyt Excela losowymi bajtami o tym samym rozmiarze.

Zmierzyliśmy Uszkodzona wersja trafiała do chmury w ciągu kilku sekund (w jednym z trzech przebiegów — po 2 min 23 s). Odzyskiwanie: Eksplorator plików → prawy przycisk na pliku → OneDrive → Version history → poprzednia wersja → Restore. Po 30 sekundach do 3 minut plik na komputerze znów zgadzał się z oryginałem co do bajta.

• Dopóki komputer nie nadrobi zmian, plik nadal wygląda na uszkodzony, choć kopia w chmurze jest w porządku. Nie przywracaj dwa razy.
• Kilka szybkich zapisów z rzędu może złożyć się w jedną wersję — „każdy zapis to wersja” nie jest gwarantowane.
• Otwarcie pliku w Excelu w przeglądarce tworzy nową wersję, nawet bez edycji. Szukając dobrej wersji, sprawdzaj historię, zamiast otwierać pliki jeden po drugim.

Test 2. Usunięty folder — jedno kliknięcie

Usunęliśmy folder dokumentów finansowych — 58 plików, 39,4 MB — zwykłym klawiszem Delete. Po 10 sekundach zniknął z chmury. W koszu OneDrive pojawił się jako jedna pozycja, a Restore w kilka sekund przywróciło 58 z 58 plików razem ze strukturą folderów.

Dwa drobne szczegóły z konsekwencjami. Są dwa kosze: kosz Windows istnieje tylko na tym komputerze, więc przy zepsutym lub skradzionym laptopie pomoże wyłącznie kosz OneDrive. A przywrócone pliki wracają jako dostępne tylko online (Pliki na żądanie) — bez internetu się nie otworzą.

Test 3. Wszystko uszkodzone — i nikt nas nie ostrzegł

Ransomware albo wadliwy skrypt nie psuje jednego pliku, tylko wszystko w zasięgu. Uszkodziliśmy zawartość całego Pulpitu i Dokumentów użytkownika testowego — łącznie ze wszystkim, co nazbierało się przez dni testów. Nazwy, foldery i rozmiary zostały te same: na pierwszy rzut oka wszystko jest na miejscu, dopóki nie spróbujesz czegoś otworzyć.

Zmierzyliśmy 531 z 532 plików (~778 MB) w 123 sekundy. Zaobserwowaliśmy OneDrive nie pokazał żadnego ostrzeżenia o masowej zmianie — tylko „zsynchronizowano”. Kosz był pusty: nic nie zostało usunięte.

Droga 1 — historia wersji. Tam, gdzie istnieje dobra wersja, przywraca poprawnie. Ale każdy plik trzeba przywrócić osobno: otwórz, historia, wersja, Restore, następny. Przy setkach plików to godziny identycznych kliknięć.

I nie każdy plik ma dobrą wersję. Zaobserwowaliśmy Jeden dokument tekstowy miał w historii tylko jedną wersję — już uszkodzoną. Nie było do czego wracać. Trafiliśmy na niego przypadkiem; ile takich plików kryje się wśród 531, nie da się sprawdzić ręcznie.

Droga 2 — kopia zapasowa obok synchronizacji. Synchronizacja z natury powtarza każdą zmianę — pożyteczną i szkodliwą. Dlatego dodajesz do niej to, czego OneDrive nie ma: regularną migawkę folderów, której nikt po utworzeniu nie zmienia. Pulpit uszkodzony dziś nie dotyka wczorajszej migawki, a zamiast przywracać setki plików pojedynczo, przywracasz stan z konkretnego dnia.

W teście użyliśmy funkcji kopii zapasowych w OneMount — naszej aplikacji, która uzupełnia OneDrive, a nie go zastępuje: według harmonogramu pakuje foldery z komputera do archiwów z datą w SharePoint lub OneDrive. Wybraliśmy kopię sprzed ataku i cały Pulpit wrócił w jednym kroku do osobnego folderu nazwanego datą kopii. Istniejące pliki nie są nadpisywane, więc możesz spokojnie porównać i zabrać to, czego potrzebujesz. Ta sama zasada działa z każdym narzędziem do kopii zapasowych — liczy się to, żeby kopia żyła oddzielnie od synchronizowanych plików.

Nasza interpretacja OneDrive ma też Restore your OneDrive — cofnięcie całego OneDrive do momentu sprzed ataku, w ciągu 30 dni. Przy masowym uszkodzeniu to mocne wbudowane narzędzie, o ile wersje są nienaruszone. Ale cofa też całą pożyteczną pracę wykonaną od tamtej chwili i nie pomoże, jeśli kosze opróżniono razem z plikami — jak w scenariuszu z początku tego artykułu.

Ransomware w 2026 roku: dlaczego atak na OneDrive i SharePoint jest łatwiejszy, niż myślisz

„Nas to nie dotyczy, to skomplikowane” — to najczęstsza reakcja. Ale ransomware nie musi włamywać się do Microsoft 365. Wystarczy, że uruchomi się w sesji użytkownika — z e-maila, pendrive’a albo „przydatnego” narzędzia: od tej chwili ma te same uprawnienia co osoba przy klawiaturze. A do plików w chmurze może dotrzeć na trzy sposoby.

1. Lokalnie, jak klasyczne ransomware. Uszkadza pliki na dysku, a klient OneDrive posłusznie wysyła uszkodzone wersje do chmury — także do synchronizowanych bibliotek SharePoint. Dokładnie to widzieliśmy w teście 3: 531 plików w 2 minuty, bez jednego ostrzeżenia.
2. Przez przeglądarkę. Użytkownik jest już zalogowany do Microsoft 365, więc program może otworzyć przeglądarkę z jego profilem albo ukraść pliki cookie sesji i działać w jego imieniu na każdej witrynie, do której ma dostęp. Uwierzytelnianie wieloskładnikowe tu nie pomaga: chroni logowanie, a nie sesję, która jest już otwarta.
3. Przez API. Z tokenem użytkownika wystarczy kilka żądań do SharePoint albo Microsoft Graph, żeby wylistować dostępne witryny, nadpisać lub usunąć pliki i opróżnić kosze. Bez okien, bez kliknięć.

Badania Już w 2022 roku Proofpoint opisał scenariusz specjalnie dla SharePoint i OneDrive: atakujący na przejętym koncie obniża limit wersji pliku do jednej i szyfruje plik kilka razy — nie zostaje żadna dobra starsza wersja. Uprawnienia administratora nie są potrzebne, każdy krok można zautomatyzować przez API i PowerShell, a Microsoft odpowiedział, że funkcje działają zgodnie z założeniami (Proofpoint). Pokrewną technikę kradzieży sesji — rozszerzenie przeglądarki, które kradnie pliki cookie Entra ID i omija MFA dla Outlooka, Teams, SharePoint i OneDrive — badacze zademonstrowali w 2025 roku pod nazwą Cookie-Bite.

AI usunęła ostatnią barierę

Kiedyś napisanie takiego skryptu wymagało doświadczonego programisty. Dziś zrobi to każdy, kto potrafi opisać zadanie słowami. Badania W sierpniu 2025 roku ESET wykrył PromptLock — pierwsze znane ransomware, które samo generuje skrypty za pomocą modelu językowego; na razie to prototyp, a nie realny atak (ESET). W tym samym miesiącu Anthropic opisał przestępcę z jedynie podstawowymi umiejętnościami programistycznymi, który za pomocą AI budował i sprzedawał gotowe ransomware po 400–1200 dolarów za sztukę (Anthropic). Wniosek jest prosty: wszystko, co w tym artykule zrobiliśmy ręcznie — uszkodzenie setek plików, usuwanie folderów, opróżnianie koszy — mieści się dziś w małym skrypcie, który każdy może napisać.

Gdy hasło do Windows jest też hasłem do Microsoft 365

W wielu firmach konta są synchronizowane z lokalnej usługi Active Directory do Microsoft Entra ID: ludzie logują się do Windows i Microsoft 365 tym samym hasłem. Wygodne — ale przejęty komputer lub domena staje się też kluczem do chmury. Microsoft mówi W sierpniu 2025 roku Microsoft opisał atak grupy Storm-0501: atakujący przejęli lokalne Active Directory i serwer Entra Connect, zresetowali hasło synchronizowanego konta z rolą Global Administrator, które nie miało MFA — a nowe hasło zsynchronizowało się do chmury. Następnie wyprowadzili dane, usunęli migawki, punkty przywracania i kopie zapasowe w Azure, a okupu zażądali przez Teams (Microsoft Security Blog). Kopie zapasowe w tej samej dzierżawie zniszczyli w pierwszej kolejności.

Dlaczego OneDrive to nie kopia zapasowa: zasada 3-2-1

Klasyczna zasada 3-2-1 tworzenia kopii zapasowych: trzy kopie danych, na dwóch różnych typach nośników, z czego jedna przechowywana oddzielnie od reszty. Nowoczesny wariant 3-2-1-1-0 dodaje jedną niezmienną kopię i zero błędów w testach odtwarzania. Z samym OneDrive masz jedną kopię lustrzaną w kilku miejscach: historia wersji i kosz żyją na tym samym koncie. Nie sięgają takich zdarzeń jak:

• usunięcie wszystkich plików i opróżnienie obu koszy — przez odchodzącego pracownika albo atakującego z jego hasłem;
• przejęte lub usunięte konto, wyłączona licencja;
• błąd administratora lub skryptu, który czyści wersje albo kosze;
• usunięcie zauważone po ponad 93 dniach.

Kopia zapasowa 3-2-1 w Microsoft 365: trzy kroki

Cel: dodać do OneDrive niezależną kopię według harmonogramu, której nie da się wymazać z konta użytkownika i która nie rośnie w nieskończoność. Wszystko w twoim własnym Microsoft 365, bez chmury zewnętrznej.

Krok 1. Folder kopii „tylko dodawanie” w SharePoint

SharePoint nie ma wbudowanego poziomu uprawnień „można dodawać, nie można usuwać”, ale łatwo go zbudować. Potrzebujesz właściciela witryny.

1. Poziom uprawnień. ⚙ → Site permissions → Advanced permissions settings → Permission Levels → Contribute → Copy Permission Level. Nazwij go Backup Append-Only. Odznacz tylko trzy uprawnienia: Edit Items, Delete Items, Delete Versions.
2. Unikatowe uprawnienia folderu. Folder kopii → ⋯ → Manage access → Advanced settings → Stop Inheriting Permissions.
3. Usuń prawa edycji. Usuń z folderu grupę członków witryny (Edit) — uprawnienia efektywne sumują się ze wszystkich grup, a z prawem Edit użytkownik mógłby usuwać pliki. Grupę właścicieli zostaw.
4. Nadaj „tylko dodawanie”. Grant Permissions → grupa zabezpieczeń z użytkownikami, których kopie będą tu trafiać → poziom Backup Append-Only, bez e-maila z zaproszeniem.

Zaobserwowaliśmy Jako zwykły użytkownik możesz wgrać nowe archiwum; zmiana lub usunięcie istniejącego kończy się komunikatem No access; pobranie archiwum do przywrócenia działa.

To uprawnienie, a nie niezmienna pamięć masowa: właściciel witryny i administrator dzierżawy nadal mogą usuwać. Chroni przed pomyłkami użytkowników i ransomware na komputerze, a nie przed przejętym administratorem.

Krok 2. Rotacja kopii zapasowych bez kosza

Problem, o którym rzadko się pisze: usunięte stare kopie trafiają do kosza witryny i leżą tam do 93 dni, zjadając limit. Przy codziennym archiwum 5 GB w koszu stale leży około 450 GB „usuniętych” danych. Do tego użytkownicy z kroku 1 nie mogą usuwać — sprzątać musi ktoś inny.

Rozwiązaniem jest przepływ Power Automate działający jako właściciel witryny. Gdy w folderze pojawia się nowe archiwum <Źródło> yyyy-MM-dd HHmmss.zip, przepływ bierze archiwa tego samego źródła w tym samym folderze, zachowuje N najnowszych, a starsze usuwa trwale — ale tylko te starsze niż D dni (domyślnie 7). OneMount umieszcza kopie każdego komputera w osobnym podfolderze, więc „Desktop” z dwóch komputerów liczy się oddzielnie. Zmierzyliśmy Standardowa akcja „Delete file” wysyła plik do kosza; trwałe usunięcie to żądanie DELETE przez „Send an HTTP request to SharePoint” — w żadnym z koszy nie było usuniętych archiwów, a każde uruchomienie przepływu trwało około pół sekundy.

Dwa przepływy: rotacja i sprzątanie po porzuconych komputerach

Ustaw próg „porzucenia” dłuższy niż urlop i najrzadszy harmonogram kopii: komputer wyłączony na dwa tygodnie wygląda dla przepływu dokładnie jak zepsuty, a jego historia skurczyłaby się do jednej kopii.

Opcja A · Generator — zalecana (10 minut)

Generator niczego nie instaluje w twojej dzierżawie: buduje dwa pakiety .zip, które Power Automate importuje jako gotowe przepływy — manifest.json z nazwą i opisem oraz definition.json z całym przepływem, w którym twoja witryna, biblioteka, folder i liczby są już wpisane. Właśnie po to istnieje: pięć kliknięć zamiast kilkudziesięciu pól i wyrażeń.

1. Pobierz onemount-retention-flow.zip, rozpakuj i uruchom Create-RetentionFlow.bat jako właściciel witryny (w przeglądarce też zalogowany jako właściciel).
2. Wklej link do folderu kopii z paska adresu — generator sam ustali witrynę, bibliotekę i folder. Na małej stronie z identyfikatorem biblioteki naciśnij Ctrl+A, Ctrl+C — okno generatora go przechwyci.
3. Odpowiedz na dwa bloki pytań (Enter zostawia wartość domyślną; każde pytanie ma podpowiedź). Obok skryptu pojawią się OneMount-1-Rotation-….zip, OneMount-2-Cleanup-….zip i OneMount-IMPORT-STEPS-….txt — kroki importu z twoimi nazwami i liczbami.
4. Zaimportuj każdy pakiet: Power Automate → My flows → Import → Import Package (Legacy) → Upload. W wierszu przepływu zostaw Create as new; w czerwonym wierszu SharePoint Connection wybierz Select during import → połączenie właściciela witryny (jeśli go nie ma — + Create; kliknij wiersz, żeby pojawił się ✓) → Save → Import.
5. Włącz oba przepływy w My flows — zaimportowany przepływ jest wyłączony. Przepływ 1 jest typu Automated, przepływ 2 — Scheduled. Wyłącz albo usuń wcześniejsze przepływy retencji dla tego samego folderu.

Sprawdzenie działania. Przepływ 1 uruchamia się dla archiwów utworzonych po jego włączeniu, z opóźnieniem do ~5 minut (przy licencji Microsoft 365 wyzwalacz sprawdza folder mniej więcej tak często): wrzuć nową kopię i sprawdź historię uruchomień. Udane uruchomienie bez usunięć jest normalne, dopóki kopii nie jest więcej niż N albo są młodsze niż minimalny wiek. Na przepływ 2 nie trzeba czekać do nocy: otwórz go → Test → Manually → Run flow. Aby przetestować rotację, zbuduj pakiety poleceniem Create-RetentionFlow.bat -Keep 1 -MinAgeDays 0.

Opcja B · Zbuduj przepływy ręcznie

Przydaje się, żeby zrozumieć, co jest w środku, albo gdy import pakietów jest w twoim środowisku zablokowany. Ogólne zasady: wyrażenia wklejaj przez kartę fx (albo Edit in advanced mode w Filter array); nazywaj akcje dokładnie tak, jak pokazano — wyrażenia się do nich odwołują (spacja zamienia się w _: „Active sources” → body('Active_sources')). Zamień OneMount_BackUP, 7 kopii, 7 / 14 / 30 dni i identyfikator biblioteki na własne.

Przepływ 1 · Rotacja Automated cloud flow · 7 kroków

1. Wyzwalacz — When a file is created (properties only) (SharePoint): wybierz Site Address i Library Name z listy, korzystając z połączenia właściciela witryny.
2. Condition, wszystkie wiersze połączone przez And; po lewej wyrażenie, operator i wartość jak w etykiecie:
   1 · contains → OneMount_BackUP

   triggerOutputs()?['body/{Path}']

   2 · ends with → .zip

   toLower(triggerOutputs()?['body/{FilenameWithExtension}'])

   3 · is greater or equal to → 3

   length(split(triggerOutputs()?['body/{FilenameWithExtension}'], ' '))

   4 · is equal to → 10 (data w nazwie)

   length(first(skip(split(triggerOutputs()?['body/{FilenameWithExtension}'], ' '), max(0, sub(length(split(triggerOutputs()?['body/{FilenameWithExtension}'], ' ')), 2)))))

3. Gałąź True → Compose — nazwa źródła bez daty i godziny („Desktop 2026-10-20 230000.zip” → „Desktop”):
   Inputs

   join(take(split(replace(triggerOutputs()?['body/{FilenameWithExtension}'], '.zip', ''), ' '), max(0, sub(length(split(replace(triggerOutputs()?['body/{FilenameWithExtension}'], '.zip', ''), ' ')), 2))), ' ')

4. Get files (properties only) — ta sama witryna i biblioteka, Order By: Created asc; Settings → Pagination On, Threshold 5000 (bez tego przepływ widzi tylko 100 plików).
5. Filter array — From: body/value z Get files; Edit in advanced mode — archiwa tego samego źródła w tym samym folderze:
   Filter query

   @and(equals(item()?['{Path}'], triggerOutputs()?['body/{Path}']), endsWith(toLower(item()?['{FilenameWithExtension}']), '.zip'), equals(join(take(split(replace(item()?['{FilenameWithExtension}'], '.zip', ''), ' '), max(0, sub(length(split(replace(item()?['{FilenameWithExtension}'], '.zip', ''), ' ')), 2))), ' '), outputs('Compose')))

6. Kolejny Filter array o nazwie Filter old enough — poza N najnowszymi i starsze niż minimalny wiek:
   From · N = 7

   take(body('Filter_array'), max(0, sub(length(body('Filter_array')), 7)))

   Filter query · 7 dni

   @less(ticks(item()?['Created']), ticks(addDays(utcNow(), -7)))

7. Apply to each po Body z Filter old enough → w środku Send an HTTP request to SharePoint: twoja witryna, Method DELETE, Headers IF-MATCH = * — trwałe usunięcie z pominięciem kosza. Identyfikator biblioteki znajdziesz w adresie ustawień biblioteki (Library settings) po List=. Save.
   Uri

   concat('_api/web/lists(guid''<ID biblioteki>'')/items(', item()?['ID'], ')')

← przewiń w bok · kliknij zrzut ekranu, aby powiększyć →

Przepływ 2 · Sprzątanie po porzuconych komputerach Scheduled cloud flow · 9 kroków

1. Recurrence: Interval 1, Frequency Day, twoja strefa czasowa, At these hours 3, At these minutes 0.
2. Get files (properties only) — witryna i biblioteka, Order By: Created desc (najpierw najnowsze — dzięki temu w dużej bibliotece aktywny komputer nigdy nie wygląda na porzucony); Pagination 5000.
3. Filter array o nazwie Backups — From body/value; tylko archiwa OneMount w twoim folderze:
   Filter query

   @and(contains(item()?['{Path}'], 'OneMount_BackUP'), endsWith(toLower(item()?['{FilenameWithExtension}']), '.zip'), greaterOrEquals(length(split(item()?['{FilenameWithExtension}'], ' ')), 3), equals(length(first(skip(split(item()?['{FilenameWithExtension}'], ' '), max(0, sub(length(split(item()?['{FilenameWithExtension}'], ' ')), 2))))), 10))

4. Filter array „Recent” — From Body z Backups; kopie z ostatnich 14 dni:
   Filter query · 14 dni

   @greater(ticks(item()?['Created']), ticks(addDays(utcNow(), -14)))

5. Select „Active sources” — From Body z Recent; Map w trybie tekstowym (przycisk na prawo od Map) — klucz „folder|źródło”:
   Map

   concat(item()?['{Path}'], '|', join(take(split(replace(item()?['{FilenameWithExtension}'], '.zip', ''), ' '), max(0, sub(length(split(replace(item()?['{FilenameWithExtension}'], '.zip', ''), ' ')), 2))), ' '))

6. Compose „Active set” — lista bez duplikatów:
   Inputs

   union(body('Active_sources'), body('Active_sources'))

7. Filter array „Abandoned” — From Body z Backups; kopie źródeł, które nie są aktywne:
   Filter query

   @not(contains(outputs('Active_set'), concat(item()?['{Path}'], '|', join(take(split(replace(item()?['{FilenameWithExtension}'], '.zip', ''), ' '), max(0, sub(length(split(replace(item()?['{FilenameWithExtension}'], '.zip', ''), ' ')), 2))), ' '))))

8. Condition: length(body('Abandoned')) is greater than 0. W gałęzi True trzy akcje: Select „Abandoned keys” (From Body z Abandoned, Map — to samo wyrażenie co w kroku 5); Select „Mark newest” — oznacza ostatnią kopię każdego źródła; Filter array „To delete” — wszystko oprócz ostatniej kopii, a samą ostatnią kopię, gdy skończy 30 dni:
   Mark newest · From

   range(0, length(body('Abandoned')))

   Mark newest · Map: ID

   body('Abandoned')[item()]?['ID']

   Mark newest · Map: Created

   body('Abandoned')[item()]?['Created']

   Mark newest · Map: Newest

   not(contains(take(body('Abandoned_keys'), item()), body('Abandoned_keys')[item()]))

   To delete · From Body z Mark newest · Filter query · 30 dni

   @or(not(item()?['Newest']), less(ticks(item()?['Created']), ticks(addDays(utcNow(), -30))))

9. W tej samej gałęzi, po To delete — Apply to each po Body z To delete z tym samym Send an HTTP request to SharePoint DELETE co w przepływie 1. Save.

← przewiń w bok · kliknij zrzut ekranu, aby powiększyć →

Krok 3. Kopie zapasowe według harmonogramu

Kroki 1 i 2 działają z każdym narzędziem, które umieszcza w SharePoint archiwa z datą. My używamy OneMount: kreator w czterech krokach — kierunek, co kopiować, dokąd, jak często.

• Migawki, nie synchronizacja. Każde uruchomienie tworzy nowe archiwum z datą, do którego potem nic już nie zapisuje.
• Działa z folderem „tylko dodawanie”. OneMount sam sprawdza uprawnienia i oznacza je na karcie kopii. Duże archiwa przechodzą przez OneDrive użytkownika i kopiowanie po stronie serwera SharePoint — wystarczy prawo do dodawania.
• Oba kierunki. Foldery komputera do SharePoint lub OneDrive; biblioteki SharePoint na dysk lokalny lub NAS — kopia poza Microsoft 365, której wymaga zasada 3-2-1.
• Przywracanie całego zestawu naraz, prosto z chmury; istniejące pliki nie są nadpisywane.

Zaobserwowaliśmy Na koncie zwykłego użytkownika kopia Pulpitu o rozmiarze 510,8 MB trafiła do folderu „tylko dodawanie”, druga kopia z tego samego dnia trafiła obok, a użytkownik nie mógł usunąć żadnego z archiwów.

Co kopiować: współdzielone biblioteki SharePoint są równie ważne jak OneDrive

Do tej pory mówiliśmy o plikach użytkownika. Ale w większości organizacji najcenniejsze dane leżą we współdzielonych bibliotekach witryn SharePoint: umowy, księgowość, dokumenty kadrowe, projekty. Pliki Microsoft Teams to również biblioteki witryn. A ryzyko bywa tam wyższe niż w magazynie osobistym:

• jedna osoba, skutki dla całego działu. Członek witryny z prawem edycji może usunąć folder, w którym pracują dziesiątki kolegów, a właściciel witryny może jeszcze opróżnić oba kosze;
• szkody rozchodzą się dalej. Pliki zaszyfrowane na jednym komputerze synchronizują się do biblioteki, a stamtąd na komputery wszystkich, którzy ją synchronizują;
• zauważa się to późno. Folder współdzielony jest „niczyj”: brakujących plików często szuka się dopiero wtedy, gdy w koszu zostało kilka dni.

Dlatego ustalaj priorytety według tego, ile firmę kosztowałaby utrata, a nie według tego, gdzie akurat leżą pliki:

OneMount kopiuje biblioteki witryn tym samym mechanizmem co foldery komputera: kierunek „Z chmury na ten komputer”, migawki z datą według harmonogramu, przywracanie całego zestawu do osobnego folderu. Jak wpasować to w twoją infrastrukturę, decyduje administrator. Typowa opcja to dedykowany, stale włączony komputer lub serwer: OneMount, zalogowany kontem, które może czytać potrzebne biblioteki, zapisuje kopie na dysk lokalny lub NAS. Taka kopia żyje poza Microsoft 365 — to dokładnie ta osobna kopia, której wymaga zasada 3‑2‑1 — a zadaniami i ich statusem można zarządzać centralnie.

Czy można trzymać kopie zapasowe w OneDrive użytkownika?

To kuszące: każdy pracownik ma już 1 TB w OneDrive, a współdzielony magazyn dzierżawy może nie wystarczyć na kopie Pulpitu po 20–40 GB dla tysiąca osób. Ale jak widzieliśmy na początku, użytkownik jest właścicielem swojego OneDrive, a poziom uprawnień „tylko dodawanie” tam nie działa: może usunąć kopię razem z oboma koszami.

Powstrzymać go może jedynie zasada przechowywania Microsoft Purview (retention policy), skonfigurowana przez administratora zgodności. Microsoft mówi Nie przeszkadza ona nikomu w usuwaniu plików ani opróżnianiu koszy, ale przed usunięciem lub zmianą zachowuje kopię w ukrytej bibliotece Preservation Hold library, z której ani użytkownik, ani ransomware nie mogą jej usunąć przed końcem okresu przechowywania (dokumentacja). To właśnie sprawia, że pliki nie znikają bez śladu — niezależnie od tego, czy chodzi o odchodzącego pracownika, czy o atakującego z jego hasłem.

1. Portal Microsoft Purview → Data lifecycle management → Retention policies → New retention policy.
2. Lokalizacje — tylko OneDrive accounts (na pilotaż kilku użytkowników albo grupa).
3. Retain items for a specific period, na przykład 90 dni; na koniec — Do nothing.
4. Zastosowanie zasady trwa do 7 dni; status sprawdzisz poleceniem Get-RetentionCompliancePolicy -DistributionDetail. Biblioteka pojawia się po pierwszej zmianie lub usunięciu objętym zasadą: https://<dzierżawa>-my.sharepoint.com/personal/<użytkownik>/PreservationHoldLibrary.

Inna opcja: kopia zapasowa OneDrive na udział sieciowy

Można też pójść w drugą stronę: kopiować OneDrive użytkownika z chmury na dysk lokalny albo udział sieciowy (\\server\share). W kreatorze OneMount to kierunek „Z chmury na ten komputer”: jako źródło wybierz OneDrive, a jako cel folder sieciowy, do którego użytkownik może zapisywać. Zaobserwowaliśmy Kopia trafiła do udziału sieciowego jako archiwum, tak samo jak na zwykły dysk. Taka kopia żyje poza Microsoft 365 — to ta osobna kopia z zasady 3-2-1.

Jedno ważne zastrzeżenie: kopiuje się to, co jest w chmurze. Jeśli OneDrive na czyimś komputerze od dawna się nie synchronizuje (zdarza się, i potrafi pozostać niezauważone miesiącami), najnowszych plików po prostu nie ma w chmurze — ani w kopii. Dlatego ta opcja uzupełnia kopię z komputera, a nie ją zastępuje. I pamiętaj: kto może zapisywać do udziału sieciowego, zwykle może też z niego usuwać — uprawnienia ustaw osobno.

Nasza interpretacja Dla firmy, do której należą efekty pracy, najpewniejszą opcją są kopie w osobnej dzierżawie albo na osobnej witrynie SharePoint z folderem „tylko dodawanie”, gdzie użytkownicy nie są właścicielami. Zasada Purview na OneDrive to rozwiązanie awaryjne na wypadek, gdy osobnego magazynu w ogóle nie ma.

Czym jest OneMount

OneMount to wyspecjalizowana aplikacja Windows do pracy z SharePoint Online i OneDrive dla Firm. Uzupełnia OneDrive, a nie go zastępuje:

• montuje biblioteki SharePoint i OneDrive jako dyski w Eksploratorze plików — z literą dysku, bez synchronizacji i kopii lokalnych, ze współautorstwem w Office;
• wykonuje kopie zapasowe według harmonogramu — foldery komputera do SharePoint lub OneDrive i biblioteki SharePoint na dysk lokalny, z przywracaniem w jednym kroku;
• jest zarządzany centralnie — z portalu administratora lub przez zasady grupy, a administrator widzi status kopii na każdym komputerze.

Bez chmury zewnętrznej i bez rejestracji aplikacji w Azure: twoje dane zostają w twoim Microsoft 365. Jak zamapować SharePoint jako dysk sieciowy →

FAQ: OneDrive i kopie zapasowe

Czy OneDrive to kopia zapasowa?

Nie w pełnym znaczeniu. OneDrive to synchronizacja z dobrymi funkcjami odzyskiwania: w naszych testach pojedyncze uszkodzone i usunięte pliki wracały co do bajta. Ale to jedna kopia danych na tym samym koncie, więc sam w sobie nie spełnia zasady 3-2-1, a po masowym uszkodzeniu przywraca pliki pojedynczo.

Czy pracownik może usunąć wszystkie pliki z OneDrive przed odejściem z firmy?

Tak. We własnym OneDrive użytkownik jest właścicielem: może usuwać pliki i opróżnić oba kosze. Sprawdziliśmy to na pliku 543 MB — zniknął bez udziału administratora. Pracę firmy ochronisz osobną kopią, której użytkownik nie kontroluje, albo zasadą przechowywania Microsoft Purview.

Co się stanie, gdy ransomware zaszyfruje wszystkie pliki w OneDrive albo zostaną usunięte razem z koszem?

OneDrive synchronizuje masowe szyfrowanie do chmury jak każdą inną zmianę. Pojedyncze pliki wracają z historii wersji jeden po drugim; cały OneDrive można cofnąć funkcją Restore your OneDrive do momentu sprzed ataku w ciągu 30 dni, jeśli zauważysz to na czas. Usunięcie z opróżnieniem obu koszy jest gorsze: atakujący na koncie użytkownika ma te same prawa co właściciel OneDrive, pojedynczych plików nie da się odzyskać, a pomoc techniczna Microsoft może jedynie cofnąć cały OneDrive w ciągu 14 dni. Dlatego potrzebujesz kopii w miejscu, z którego to konto nie może usuwać.

Jak długo usunięte pliki są przechowywane w koszu OneDrive dla Firm?

93 dni w koszu (łącznie pierwszy i drugi poziom). Tego, co usunięto z kosza drugiego poziomu, nie da się już odzyskać jako pojedynczych plików.

Ile wersji pliku przechowuje OneDrive?

Domyślnie 500 na plik. W trybie automatycznym wszystkie wersje z pierwszych 30 dni, a starsze są przerzedzane. Historia wersji działa dla każdego typu pliku — przywracaliśmy zarówno pliki Excel, jak i PDF.

Czy w SharePoint można pozwolić na dodawanie plików bez prawa do ich usuwania?

Tak: skopiuj poziom uprawnień Contribute bez Edit Items, Delete Items i Delete Versions, przerwij dziedziczenie na folderze i nadaj nowy poziom. Pamiętaj, że uprawnienia ze wszystkich grup użytkownika się sumują.

Dlaczego miejsce na witrynie SharePoint się kończy, choć stare kopie są usuwane?

Bo usunięte elementy leżą w koszu witryny do 93 dni i wliczają się do limitu. Usuwaj stare kopie żądaniem REST DELETE — omija ono kosz.

Czy ransomware może zaszyfrować pliki w OneDrive i SharePoint?

Tak. Program działający w sesji użytkownika ma jego uprawnienia: szyfruje pliki na dysku, a OneDrive wysyła uszkodzone wersje do chmury; albo wykorzystuje już otwartą sesję przeglądarki lub token, by przez API zmieniać i usuwać pliki na każdej witrynie, do której użytkownik ma dostęp. Jeśli hasło do Windows jest synchronizowane z Microsoft 365, przejęty komputer lub domena otwiera też chmurę. Chroni cię kopia, której nie da się zmienić z konta użytkownika, oraz kopia poza dzierżawą.

Czy serwer plików jest bezpieczniejszy niż OneDrive?

Nie sam z siebie — zależy od konfiguracji. Windows Server ma kopie w tle folderów udostępnionych (Shadow Copies of Shared Folders, karta Poprzednie wersje), a urządzenia NAS, takie jak Synology czy QNAP, robią migawki systemu plików. Ale to migawki według harmonogramu — w Windows domyślnie o 7:00 i 12:00 w dni robocze, maksymalnie 64 — a nie historia każdej zmiany jak w OneDrive: tego, co zmieniono między migawkami, nie da się odzyskać. Zaleta: ransomware szyfrujące folder udostępniony z komputera użytkownika nie dosięgnie migawek na serwerze, a na NAS można je uczynić niezmiennymi. Słabe punkty: atakujący z uprawnieniami administratora na serwerze usuwa kopie w tle jednym poleceniem, a migawki żyją na tym samym serwerze, więc nie są osobną kopią w rozumieniu zasady 3‑2‑1. Wniosek jest ten sam co dla OneDrive: potrzebujesz obok osobnej kopii zapasowej. A jeśli ludzie są przyzwyczajeni do zamapowanej litery dysku, zachowaj ją dzięki SharePoint zamapowanemu jako dysk.

Czy potrzebuję Microsoft 365 Backup, jeśli mam już OneDrive?

To natywny wybór, jeśli musisz przywracać całe witryny i konta OneDrive nawet do roku wstecz i masz administratora, który się tym zajmie. Kosztuje 0,15 USD za GB miesięcznie — około 4500 USD miesięcznie za 30 TB — i nie obejmuje plików, które istnieją tylko na komputerach.

---

Jak OneDrive radzi sobie z naprawdę dużymi bibliotekami — test synchronizacji 1 000 000 plików →

---

Źródła

• Microsoft Learn — limity historii wersji w bibliotekach dokumentów i OneDrive.
• Microsoft Learn — planowanie miejsca na wersje (tryb automatyczny).
• Microsoft — przywracanie usuniętych plików lub folderów w OneDrive.
• Microsoft — przywracanie usługi OneDrive (Restore your OneDrive).
• Microsoft Learn — przechowywanie i usuwanie OneDrive.
• Microsoft Learn — zasady przechowywania dla SharePoint i OneDrive.
• Microsoft Learn — postępowanie z ransomware w SharePoint Online.
• Microsoft Learn — cennik Microsoft 365 Backup.
• Microsoft Security Blog — Storm-0501: od lokalnego AD do ransomware w chmurze (sierpień 2025).
• Proofpoint — szyfrowanie plików SharePoint i OneDrive przez limit wersji (czerwiec 2022).
• ESET — PromptLock, pierwsze znane ransomware oparte na AI (sierpień 2025).
• Anthropic — raport o nadużyciach AI, w tym o tworzeniu ransomware (sierpień 2025).
• Własne testy SkylFlow, 21–23 października 2026: izolowana maszyna wirtualna, konto testowe bez uprawnień administratora, sumy kontrolne SHA-256 i pomiary czasu dla każdego przebiegu.