¿Te llegó un correo de OneDrive avisando que “se eliminaron muchos archivos” y temes haber perdido datos o sufrido un acceso no autorizado? En esta guía aprenderás por qué ocurre la alerta, cómo verificar si es real, los pasos para recuperar la información y las mejores prácticas para que no vuelva a suceder.
¿Qué dispara la alerta de eliminación masiva?
OneDrive monitoriza de manera continua el número de operaciones que afectan a tus archivos (eliminaciones, renombres, movimientos y sobrescrituras). Cuando detecta que en un breve intervalo se ha modificado un porcentaje inusualmente alto—por ejemplo, miles de archivos de golpe—envía un correo de advertencia al propietario de la cuenta o al administrador de la organización. El objetivo es darte la oportunidad de intervenir antes de que un error humano, un proceso automatizado o un malware cause un daño irreparable.
Umbrales y tiempo de respuesta
- Frecuencia de escaneo: aproximadamente cada hora.
- Valores típicos del umbral: más del 2 % de los elementos de la cuenta o más de 200 archivos en menos de 60 minutos (los números varían según la suscripción).
- Ventana de restauración: hasta 30 días en cuentas personales y hasta 93 días en Microsoft 365 Empresa o Educación.
Escenarios habituales que generan falsos positivos
Es frecuente que la alerta se dispare aunque ningún archivo “desaparezca” realmente. Algunos ejemplos:
- Sincronización inicial de una nueva PC: OneDrive debe comparar miles de elementos y registra renombres temporales.
- Programas que guardan partidas o compilaciones: muchos juegos y entornos de desarrollo escriben archivos en Documentos; las versiones anteriores se detectan como “eliminaciones”.
- Reorganización masiva de carpetas: al mover o renombrar carpetas con gran cantidad de subelementos, OneDrive genera eventos de baja de archivos en la ubicación original.
- Uso de herramientas de limpieza: aplicaciones que despejan cachés o duplicados pueden borrar cientos de elementos por sesión.
Pasos recomendados para investigar y actuar
| Paso | Acción | Objetivo |
|---|---|---|
| Verificar la actividad reciente de OneDrive | – Inicie sesión en onedrive.com → Configuración (⚙) → Restaurar tu OneDrive. – Examine la línea de tiempo para confirmar si hubo eliminaciones masivas y, de ser necesario, restaure todos los elementos o selecciones individuales. | Confirmar si la alerta fue real o un falso positivo y, en caso de pérdida, recuperar archivos en bloque (disponible hasta 30 días). |
| Revisar la Papelera de reciclaje y las versiones | Compruebe tanto la Papelera primaria como la Papelera secundaria (segunda etapa). Revise también el historial de versiones de los archivos clave. | Asegurarse de que no haya datos ocultos en la segunda etapa y restaurar versiones si un archivo fue sobrescrito. |
| Auditar la seguridad de la cuenta Microsoft | – account.microsoft.com → Seguridad → Ver mi actividad de inicio de sesión. – Si ve ubicaciones, IP o dispositivos desconocidos, cambie la contraseña y active MFA. | Descartar accesos no autorizados que pudieran haber provocado eliminaciones remotas. |
| Revisar los dispositivos y el cliente de sincronización | – Haga clic en el icono de nube de la bandeja del sistema → Ayuda y configuración → Configuración → Cuenta para ver qué carpetas se están respaldando. – Compruebe el registro de actividad local (icono de campana) y busque errores o avisos de gran número de operaciones. | Detectar si alguna aplicación (por ejemplo, juegos que guardan en Documentos) está creando /eliminando archivos frecuentemente, disparando la alerta. |
| Ajustar el backup de carpetas | Si la causa son sobrescrituras frecuentes (saves de juegos, IDE, etc.), considere: – Desvincular la carpeta problemática (Configuración → Copia de seguridad → Administrar copia de seguridad). – Excluir tipos de archivo o subcarpetas temporales. | Evitar alertas falsas y reducir tráfico de sincronización. |
| Detener la sincronización si observa borrados reales | Si OneDrive empieza a quitar archivos sin su intervención: – Haga clic en Ayuda y configuración → Pausar sincronización o Desvincular este equipo. – Restaure los archivos en línea antes de reanudar. | Frenar la propagación del borrado hasta recuperar los datos. |
| Mantener el entorno seguro y actualizado | – Actualice OneDrive desde Microsoft Store o instale la versión más reciente. – Ejecute un análisis antimalware completo. | Evitar que errores de versiones antiguas o malware manipulen archivos. |
| Contactar soporte si persiste | Facilite fecha y hora exacta del correo y, de ser posible, un informe de actividad (.CSV) descargado desde Restaurar tu OneDrive. | Permitir a Microsoft confirmar si se trata de un falso positivo conocido o de un incidente particular. |
Procedimiento detallado de recuperación con “Restaurar tu OneDrive”
- Desde cualquier navegador, abre onedrive.com con tu cuenta afectada.
- Selecciona el engranaje (⚙) en la esquina superior derecha y escoge Restaurar tu OneDrive.
- En la parte superior verás un control deslizante de tiempo: muévelo hacia atrás para encontrar el momento exacto previo a la alerta.
- Analiza la tabla de eventos: podrás filtrar por Eliminar, Crear, Modificar y Mover. Marca Eliminar para detectar la ráfaga sospechosa.
- Haz clic en Restaurar; esto revertirá no solo las eliminaciones, sino también los cambios de nombre y sobrescrituras producidos hasta ese instante.
- Recibe una notificación de confirmación por correo y comprueba localmente que los archivos vuelven a estar disponibles.
Cómo exportar un registro de actividad en CSV
Para diagnosticar con el soporte de Microsoft, puedes descargar un registro detallado de eventos:
- En la vista Restaurar tu OneDrive, pulsa Descargar historial.
- Guarda el archivo
activity.csv; contiene fecha, hora, nombre del elemento, tipo de acción y autor. - Adjúntalo al ticket de soporte indicando la hora exacta del correo de alerta.
Buenas prácticas para prevenir futuras alertas
Gestión de carpetas sincronizadas
- Desvincula carpetas donde las aplicaciones escriben archivos temporales (por ejemplo,
%AppData%o directorios de caché). - Utiliza la política “Exclusiones de extensión” en Microsoft 365 Admin Center para saltar tipos de archivo volátiles (ej.
.tmp,.obj).
Seguridad multifactor (MFA)
Activa MFA en tu cuenta Microsoft personal o exige MFA para todos los usuarios de la organización. Así, aunque un atacante obtenga la contraseña, no podrá iniciar sesión para borrar datos.
Versionado y retención
OneDrive guarda hasta 500 versiones por archivo (empresa) o 25 versiones (personal). Si trabajas con documentos Office, deja activado “Guardar versiones automáticamente” para facilitar el control de cambios.
Checklist rápido para administradores de TI
- ✅ Verificar que todas las máquinas tengan la versión más reciente de OneDrive (
onedrive.exe /version). - ✅ Aplicar políticas de grupo para limitar cargas masivas fuera del horario laboral.
- ✅ Habilitar alerta en el Centro de Cumplimiento de Microsoft 365 para “FileDeleted (OneDrive)” y reenviarla a un canal de Teams.
- ✅ Programar scripts PowerShell para exportar diariamente la actividad y archivarla en SharePoint.
- ✅ Probar la restauración de un sitio cada trimestre (ejercicio de DRP).
Preguntas frecuentes
¿Puedo aumentar el periodo de retención de la Papelera?
En planes Empresa y Educación, el administrador global puede extender la retención hasta 93 días mediante PowerShell: Set-SPOTenant -OrphanedPersonalSitesRetentionPeriod 93.
¿La alerta se envía también al administrador?
Sí, en entornos Microsoft 365, los administradores con rol SharePoint Admin reciben copia automática si está activada la preferencia de “Notificaciones por correo” en el Centro de Administración.
¿Se pierden los archivos si restauro después de 30 días?
Si la Papelera secundaria ha expirado, los archivos pasan a un estado “SoftDeleted” inaccesible para el usuario. Solo Microsoft puede intentar recuperarlos dentro de los 14 días siguientes; pasados 44 días en total la eliminación es definitiva.
¿Qué ocurre con los archivos compartidos externamente?
Al restaurar, los vínculos de uso compartido permanecen activos, pero si se modificó la configuración de permisos tendrás que regenerarlos.
¿Existe un log local en Windows?
Sí. En %localappdata%\Microsoft\OneDrive\logs\Business1 se encuentra SyncDiagnostics.log, útil para rastrear la secuencia exacta de operaciones.
Conclusión
Las alertas de “Se eliminaron muchos archivos” cumplen una función crítica: advertirte antes de que los datos desaparezcan definitivamente. Sin embargo, es habitual que sean falsos positivos desencadenados por rutinas legítimas. Con los pasos detallados en esta guía podrás:
- Identificar rápidamente si hubo eliminación real.
- Restaurar la información desde la web sin necesidad de herramientas externas.
- Asegurar tu cuenta y los dispositivos conectados.
- Implementar prácticas de prevención para que el susto no se repita.
Dedica unos minutos a revisar tu configuración hoy y evita dolores de cabeza mañana.