Cómo desactivar puertos USB en Windows 10

Uno de los principales problemas al insertar un USB en el PC es que, en ocasiones, el equipo responde automáticamente y puede permitir el acceso no autorizado. Los puertos USB abiertos facilitan el robo de datos. Por eso es recomendable desactivar los puertos USB en Windows 10 cuando sea necesario, para reducir el riesgo de exfiltración.

Habilitar y deshabilitar puertos USB en Windows 10

A continuación tienes dos métodos sencillos: uno usando el Registro de Windows y otro mediante el Administrador de dispositivos. Ambos requieren permisos de administrador.

Método 1: Usar el Registro para habilitar/deshabilitar puertos USB

• Haz clic en el botón Inicio y busca la aplicación Ejecutar. Escribe regedit y abre el Editor del Registro.

• En la ventana del Editor del Registro sigue esta ruta exactamente (usa el panel izquierdo):

HKEY_LOCAL_MACHINE -> SYSTEM -> CURRENTCONTROLSET -> SERVICES -> USBSTOR

• En la clave USBSTOR localiza el valor llamado Start. Haz doble clic en Start y cambia el dato del valor a:
  • 4 para desactivar el almacenamiento USB (no permitirá que unidades USB de almacenamiento masivo se monten).
  • 3 para volver a habilitarlo.

Importante: Cambiar el registro puede dejar el sistema inestable si se hacen ediciones incorrectas. Antes de modificarlo, exporta la clave USBSTOR (Archivo -> Exportar) como copia de seguridad.

Método 2: Usar el Administrador de dispositivos para desactivar puertos USB

• Abre Este equipo y en la parte superior selecciona Administrar.

• En la ventana de Administración, selecciona Administrador de dispositivos en el panel lateral izquierdo.

• Expande Controladoras de bus serie universal (Universal Serial Bus controllers).
• Localiza los controladores de puertos USB (por ejemplo, Host Controller o Root Hub), haz clic derecho sobre el dispositivo que quieras deshabilitar y elige Deshabilitar dispositivo.

Esto impedirá que Windows reconozca dispositivos conectados a ese controlador. Para habilitar de nuevo, repite y selecciona Habilitar dispositivo.

Alternativas y cuándo usar cada método

• Editor del Registro (USBSTOR): ideal para bloquear el acceso a dispositivos de almacenamiento masivo en equipos individuales o para aplicar mediante scripts. Afecta al servicio USBSTOR.
• Administrador de dispositivos: útil para desactivar físicamente controladores concretos sin tocar el registro; preferible para pruebas rápidas.
• Políticas de grupo (gpedit.msc) o directivas de Active Directory: mejor para entornos corporativos con muchos equipos (control centralizado).
• Soluciones de control de endpoints (DLP/MDM): ofrecen bloqueo granular, registro de eventos y políticas por usuario o dispositivo.
• Bloqueo físico de puertos y cerraduras USB: solución de bajo nivel cuando se necesita seguridad física.

Mini-metodología para aplicar bloqueo en una organización

1. Inventario: identifica equipos críticos y puertos que deben controlarse.
2. Prueba: aplica cambios en un equipo de prueba y valida el comportamiento.
3. Copia de seguridad: exporta claves de registro y crea puntos de restauración.
4. Despliegue gradual: usa políticas de grupo o scripts con supervisión.
5. Monitorización: registra eventos y revisa intentos de conexión.
6. Plan de reversión: documenta pasos para volver a habilitar puertos si es necesario.

Checklist para administradores antes de desactivar puertos USB

• Backup del Registro o punto de restauración creado.
• Permisos de administrador verificados.
• Comunicación a usuarios afectados (impacto laboral: cámaras, teclados especiales, dongles).
• Pruebas realizadas en equipos de laboratorio.
• Plan de reversión documentado.
• Monitorización y registro activados.

Cómo verificar que el bloqueo funciona (casos de prueba)

• Caso 1: Conecta una memoria USB con archivos. Resultado esperado: Windows no la monta ni asigna letra de unidad.
• Caso 2: Conecta un ratón o teclado USB. Resultado esperado: si deshabilitaste controladores específicos puede dejar de funcionar; verifica únicamente los dispositivos previstos.
• Caso 3: Intenta copiar archivos vía USB desde un usuario estándar. Resultado esperado: operación bloqueada.

Revertir cambios (rollback)

• Si cambiaste USBSTOR en el Registro: vuelve a poner Start=3 o importa la copia de seguridad de la clave.
• Si deshabilitaste en el Administrador de dispositivos: haz clic derecho y selecciona Habilitar dispositivo.

Privacidad y seguridad

Desactivar puertos USB reduce el riesgo de exfiltración de datos y de infección por malware desde dispositivos extraíbles. No sustituye a otras medidas: sigue aplicando cifrado en reposo, políticas de acceso y soluciones antivirus / EDR.

Vocabulario breve

• USBSTOR: servicio de Windows que gestiona el almacenamiento USB.
• Editor del Registro: herramienta para leer y editar la base de datos de configuración de Windows.
• Administrador de dispositivos: interfaz para gestionar controladores y hardware.

Preguntas frecuentes

¿Puedo desactivar solo unidades de almacenamiento sin afectar a teclados o ratones? Sí. La modificación de USBSTOR bloquea el almacenamiento masivo; deshabilitar controladores específicos en el Administrador de dispositivos puede afectar otros periféricos.

¿Los puertos seguirán suministrando energía (carga) si los desactivo? Depende: deshabilitar solo el servicio USBSTOR impide el montaje de unidades de almacenamiento, pero no corta la alimentación física; algunas medidas a nivel de BIOS o hardware son necesarias para cortar completamente la energía.

¿Cómo lo hago de forma masiva en una red de empresa? Usa Políticas de Grupo (Group Policy) o soluciones MDM/EDR para aplicar la restricción a múltiples equipos de forma centralizada.

Lecturas relacionadas:

• Cómo mostrar la velocidad de Internet en la barra de tareas en Windows 10
• 6 pasos para crear una carpeta protegida con contraseña sin software
• Cómo enviar mensajes que se autodestruyen en Messenger

Resumen final: deshabilitar puertos USB es una medida efectiva para reducir riesgos de robo de datos y malware desde dispositivos extraíbles. Elige el método adecuado según el alcance (equipo individual vs. red corporativa), siempre realizando copias de seguridad y pruebas previas.