Cómo ver los archivos en cuarentena de Microsoft Defender

Para ver los archivos en cuarentena de Microsoft Defender, abre Seguridad de Windows y consulta el Historial de protección. Desde ahí puedes comprobar qué se ha detectado, dónde estaba el elemento y qué medidas ha aplicado el antivirus.

Consultar una detección no obliga a restaurarla. Si sospechas que se trata de un falso positivo, revisa primero su procedencia y los detalles del aviso: recuperar el archivo y permitir su ejecución son decisiones diferentes.

Cómo ver los archivos en cuarentena de Microsoft Defender

En Windows 10 y Windows 11 puedes acceder desde la aplicación integrada:

1. Abre Inicio y busca Seguridad de Windows.
2. Entra en Protección antivirus y contra amenazas.
3. Selecciona Historial de protección.
4. Abre Filtros y elige Elementos en cuarentena, si aparece esta opción.
5. Despliega la detección que quieras consultar.

Comprueba el nombre de la amenaza, la fecha, los elementos afectados y el estado. Windows puede pedir autorización de administrador para mostrar los detalles.

No todo lo que aparece en el historial sigue en cuarentena. También hay detecciones eliminadas, bloqueos y acciones pendientes. Lee el estado concreto antes de buscar una opción de recuperación.

Qué diferencia hay entre restaurar, quitar y permitir

Cuando el elemento está en cuarentena, el menú de acciones puede ofrecer estas posibilidades:

• Restaurar: devuelve el archivo al dispositivo.
• Quitar: elimina la amenaza del equipo.
• Permitir en el dispositivo: autoriza el elemento cuando esa acción está disponible.

Restaurar no garantiza que puedas utilizarlo sin otra alerta. Defender puede volver a detectarlo. No conviertas una nueva detección en motivo para desactivar el antivirus: comprueba antes si realmente se trata de un falso positivo.

Si la amenaza ya fue eliminada, permitirla no reconstruye el archivo desaparecido.

Cómo consultar la cuarentena desde CMD

La herramienta MpCmdRun.exe permite enumerar los elementos disponibles. Abre el Símbolo del sistema como administrador.

Microsoft recomienda utilizar la versión situada en:

%ProgramData%\Microsoft\Windows Defender\Platform\<version-de-la-plataforma>\

Abre esa ubicación en el Explorador e identifica la carpeta de la plataforma más reciente. Sustituye el marcador por su nombre real al cambiar de directorio:

cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\<version-de-la-plataforma>"
MpCmdRun.exe -Restore -ListAll

Si esa ubicación no existe, Microsoft documenta también %ProgramFiles%\Windows Defender. El comando de listado no restaura los elementos.

Restaurar un elemento concreto

Solo después de verificar su legitimidad, puedes seleccionar un elemento por la ruta que corresponda a la salida del listado:

MpCmdRun.exe -Restore -FilePath "C:\ruta\original\archivo.ext"

Adapta la ruta; no copies el ejemplo literalmente. Sin un destino alternativo, se restaura en su ubicación original y se retira de la cuarentena.

La opción -Name utiliza el nombre de la amenaza, no debe interpretarse como un simple nombre de archivo. Evita restauraciones masivas si solo necesitas recuperar un elemento.

Qué hacer si el historial está vacío o no aparece el archivo

Un historial vacío no demuestra que el antivirus nunca haya actuado. Microsoft indica que la interfaz conserva los eventos durante dos semanas. Para comprobar los elementos actualmente disponibles, utiliza también el listado de MpCmdRun.

Si el archivo no aparece, revisa si la detección indicaba eliminación, si intervino otro antivirus o si el equipo está administrado por una organización. En un ordenador de empresa, facilita al soporte el nombre del archivo, su ubicación y la fecha aproximada del incidente.

No vacíes las carpetas Quarantine ni Scans\History\Service para intentar recuperarlo. Borrar registros no devuelve el contenido original y manipular el almacén de cuarentena puede impedir su recuperación.

Si no queda una copia restaurable, busca un respaldo o una nueva copia legítima del proveedor. No descargues archivos sueltos de páginas desconocidas para reemplazar componentes eliminados.

Cómo comprobar un posible falso positivo

Revisa de dónde salió el archivo y si el desarrollador ha comunicado problemas de detección. Que lo hayas usado antes o que tenga un nombre conocido no confirma por sí solo que sea seguro.

Microsoft ofrece un portal de envío de archivos para análisis donde comunicar posibles detecciones incorrectas. Antes de compartir una muestra, comprueba las condiciones del servicio y si contiene información personal o empresarial.

VirusTotal puede aportar información adicional, pero las subidas al servicio estándar pueden compartirse con la comunidad y sus socios de seguridad. No envíes documentos confidenciales como si fuera un análisis privado, y no interpretes un resultado sin detecciones como una garantía absoluta.

Mientras no tengas una conclusión fiable, conserva el elemento aislado. No es necesario abrirlo para consultar su detección.

Cuarentena local y portal empresarial: no son lo mismo

En Microsoft Defender for Endpoint, los administradores autorizados pueden disponer de acciones para recopilar o descargar una muestra desde la página del archivo. Una opción es obtener un ZIP protegido con contraseña.

Esa contraseña facilita el manejo de la muestra, pero no hace seguro extraerla o ejecutarla en un ordenador de trabajo. Su análisis corresponde a un entorno preparado para ello.

Por su parte, la cuarentena de correo y mensajes de Teams pertenece a las funciones de protección de Microsoft 365. La capacidad de liberar contenido o solicitar su revisión depende de las directivas y permisos de la organización; no se gestiona desde la cuarentena local del PC.

Cuánto tiempo se conservan los archivos en cuarentena

La conservación de los archivos puede configurarse mediante directivas. No confundas ese plazo con el tiempo durante el que se muestran los eventos del Historial de protección.

En equipos compatibles con el Editor de directivas de grupo, la configuración se encuentra en:

Configuración del equipo > Plantillas administrativas > Componentes de Windows > Antivirus de Microsoft Defender > Cuarentena.

La directiva de eliminación de elementos permite establecer días de conservación. En un entorno administrado, consulta con el responsable antes de modificarla. Reducir el plazo no ayuda a recuperar archivos y puede retirar elementos que todavía necesitas revisar.

Para una consulta habitual basta con comprobar el historial, identificar el estado y decidir qué hacer con el elemento concreto. Limpiar temporales no equivale a eliminar una infección, y recuperar un archivo no equivale a certificar su seguridad.