Cómo activar el Acceso controlado a carpetas contra ransomware

El ransomware no necesita privilegios de administrador para arruinarte el día: le basta con ejecutarse con tu usuario y empezar a reescribir todo lo que hay en Documentos, Imágenes y Escritorio. Por eso Microsoft incluyó en Windows una función que casi nadie activa: el Acceso controlado a carpetas (Controlled Folder Access, o CFA). Funciona como una lista de invitados: solo las apps de confianza pueden modificar tus carpetas importantes. Aquí tienes el paso a paso para activarlo, permitir lo legítimo y revisar qué se bloqueó.

¿Qué hace el Acceso controlado a carpetas?

¿Qué es el Controlled Folder Access de Windows?

Es una función de Microsoft Defender que impide que aplicaciones no confiables modifiquen archivos en carpetas protegidas, lo que interfiere directamente con el comportamiento típico de un ransomware: abrir, cifrar y sobrescribir tus archivos.

Según la documentación de Microsoft, la función protege por defecto carpetas comunes del sistema, como Documentos, Imágenes, Vídeos, Música, Favoritos y Escritorio, y puedes añadir otras. Defender decide qué apps son de confianza según su reputación y prevalencia; el resto necesita autorización manual. No sustituye la copia de seguridad 3-2-1, pero es una capa barata que aumenta la probabilidad de que el ataque muera en el primer archivo y no en el milésimo.

Paso 1: activarlo desde la interfaz de Windows 11

1. Abre Seguridad de Windows (Inicio, escribe el nombre).
2. Ve a Protección antivirus y contra amenazas.
3. Desplázate hasta Protección contra ransomware y haz clic en Administrar la protección contra ransomware.
4. Activa Acceso controlado a carpetas y confirma el aviso de UAC.

Un requisito que sorprende a mucha gente: la función depende de que Microsoft Defender sea el antivirus activo y tenga la protección en tiempo real encendida. Si instalaste otro antivirus que asumió el papel principal, la opción puede aparecer desactivada o simplemente no funcionar.

Paso 2: activarlo (y probarlo antes) con PowerShell

Microsoft recomienda empezar en modo de auditoría, donde no se bloquea nada y todo queda en el registro. Así ves qué programas tuyos serían detenidos antes de aplicar la regla. En una ventana de PowerShell como administrador:

# Modo auditoría: solo registra, no bloquea
Set-MpPreference -EnableControlledFolderAccess AuditMode

# Después de unos días sin sorpresas, activarlo de verdad
Set-MpPreference -EnableControlledFolderAccess Enabled

# Comprobar el estado actual (0 = apagado, 1 = activo, 2 = auditoría)
(Get-MpPreference).EnableControlledFolderAccess

En un PC doméstico es razonable pasar directamente a Enabled y permitir lo que falle. Si el PC es de trabajo, con software de contabilidad, ERP o herramientas antiguas, vale la pena la semana de auditoría.

Paso 3: proteger otras carpetas y permitir apps legítimas

Las carpetas predeterminadas cubren lo básico, pero los datos del trabajo suelen vivir en D:\Projetos o en una carpeta de fotos en otro disco. Añádelas y permite los programas que necesitan escribir en ellas:

# Añadir una carpeta a la lista de protegidas
Add-MpPreference -ControlledFolderAccessProtectedFolders "D:\Projetos"

# Permitir una app específica (ruta completa del ejecutable)
Add-MpPreference -ControlledFolderAccessAllowedApplications "C:\Program Files\MeuApp\meuapp.exe"

# Listar lo que ya está configurado
(Get-MpPreference).ControlledFolderAccessProtectedFolders
(Get-MpPreference).ControlledFolderAccessAllowedApplications

Desde la interfaz, el camino es el mismo del paso 1: Carpetas protegidas y Permitir que una aplicación use el acceso controlado a carpetas. Permite solo ejecutables que reconozcas. Autorizar la app equivocada solo para que desaparezca la notificación es tirar la protección a la basura.

Paso 4: qué hacer cuando algo se bloquea

¿Por qué Windows dice "Cambios no autorizados bloqueados"?

Porque una aplicación que Defender no considera de confianza intentó escribir en una carpeta protegida; si conoces el programa, permite su ejecutable, y si no lo conoces, déjalo bloqueado e investiga.

Ese aviso es la función haciendo su trabajo. Antes de permitir nada, pregúntate: ¿acabo de abrir este programa? ¿Instalé algo hoy? Si la respuesta es no, trátalo como sospechoso y sigue la guía para saber si tu PC fue hackeado. Los bloqueos quedan registrados en el Visor de eventos, en Registros de aplicaciones y servicios > Microsoft > Windows > Windows Defender > Operational. Según Microsoft, el evento 1123 indica acceso bloqueado, el 1124 indica acceso registrado en modo auditoría y el 5007 indica un cambio de configuración. Con PowerShell:

Get-WinEvent -FilterHashtable @{
  LogName = 'Microsoft-Windows-Windows Defender/Operational'
  Id      = 1123, 1124
} -MaxEvents 20 | Select-Object TimeCreated, Id, Message

Si quieres profundizar en la lectura de registros, el post sobre Get-WinEvent explica filtros y trampas. Y vale la pena vigilar el evento 5007: un ransomware con privilegios puede intentar apagar la protección antes de actuar.

Lo que el Acceso controlado a carpetas no resuelve

• No protege contra quien ya tiene el control. Un malware con privilegios de administrador puede cambiar la configuración. Por eso las demás defensas siguen siendo necesarias, como las de cómo protegerte del ransomware.
• No evita el robo de datos. El ransomware moderno copia los archivos antes de cifrarlos, y leer una carpeta no es lo mismo que modificarla.
• Puede generar falsos positivos con programas antiguos, juegos que guardan en Documentos y scripts propios. Ajústalo con el periodo de auditoría.
• No sustituye la copia de seguridad. Si el disco muere o borras el archivo tú mismo, el CFA no ayuda.

Lista rápida

1. Defender activo y con protección en tiempo real encendida.
2. Acceso controlado a carpetas en AuditMode durante unos días (o directo a Enabled en un PC doméstico).
3. Carpetas de datos fuera de las predeterminadas añadidas a la lista.
4. Apps legítimas permitidas por ruta completa.
5. Copia de seguridad sin conexión probada, porque es la que te salva cuando la defensa falla.

Es un ajuste de cinco minutos que cambia el resultado del peor escenario. Para el resto de configuraciones que conviene revisar en el sistema, sigue con las 10 configuraciones que hacen más seguro Windows 11.

Fuentes: documentación de Microsoft sobre Controlled Folder Access, cómo activarlo y cómo evaluarlo en modo auditoría.