Czy OneDrive jest bezpieczny? Szyfrowanie, ryzyka i ustawienia

OneDrive to jedna z najpopularniejszych usług przechowywania danych w chmurze – i jedno z częściej zadawanych pytań dotyczy tego, czy jest bezpieczny. Odpowiedź nie jest ani prosta, ani jednoznaczna: zależy od tego, przed jakim zagrożeniem chcesz się chronić. Ten artykuł wyjaśnia, jak działa bezpieczeństwo OneDrive, gdzie leżą jego granice i co warto zrobić, żeby nie stracić kontroli nad swoimi danymi.

Najważniejsze informacje z tego artykułu:

• OneDrive szyfruje dane podczas przesyłu i przechowywania, ale Microsoft zarządza kluczami szyfrowania, więc nie jest to szyfrowanie end-to-end.
• Największe ryzyko nie pochodzi z ataku na infrastrukturę Microsoftu, lecz z przejęcia konta użytkownika lub nadmiernych uprawnień aplikacji zewnętrznych.
• Wersjonowanie plików i funkcja File Restore ograniczają skutki ransomware, ale nie zastępują niezależnej kopii zapasowej.
• Administratorzy Microsoft 365 oraz sam Microsoft mają techniczną możliwość dostępu do plików przechowywanych w OneDrive for Business.
• Bezpieczeństwo OneDrive zależy w dużej mierze od konfiguracji konta i ustawień udostępniania, a nie tylko od mechanizmów wbudowanych w usługę.

Czy OneDrive jest bezpieczny jako miejsce do przechowywania plików?

OneDrive zapewnia solidną ochronę infrastruktury, ale poziom bezpieczeństwa, którego możesz oczekiwać, zależy od tego, przed czym konkretnie chcesz się chronić. Żeby odpowiedzieć rzetelnie, warto spojrzeć na to przez pryzmat kilku różnych scenariuszy zagrożeń.

Co OneDrive chroni skutecznie?

Infrastruktura Microsoftu jest wielowarstwowo zabezpieczona – dane są szyfrowane zarówno podczas przesyłu, jak i podczas przechowywania, a centra danych posiadają fizyczną i logiczną ochronę na poziomie korporacyjnym. W praktyce oznacza to, że:

• Kradzież fizycznego nośnika z serwerowni Microsoftu nie pozwoli odczytać plików, bo każdy fragment pliku jest szyfrowany osobnym kluczem AES-256, a klucze, treść i mapa rekonstrukcji fragmentów są przechowywane w oddzielnych komponentach infrastruktury.
• Podsłuch transmisji jest praktycznie niemożliwy – dane przesyłane między Twoim urządzeniem a serwerami Microsoftu są chronione protokołem TLS z kluczami 2048-bitowymi.
• Przypadkowe usunięcie pliku da się cofnąć przez co najmniej 93 dni (kosz) lub przez funkcję File Restore, która pozwala przywrócić cały dysk do stanu sprzed nawet 30 dni.
• Awaria infrastruktury po stronie Microsoftu rzadko powoduje trwałą utratę danych, bo usługa korzysta z redundancji i geograficznego rozproszenia kopii.

Gdzie bezpieczeństwo OneDrive ma swoje granice?

Tu robi się bardziej złożona sytuacja. OneDrive nie jest systemem zero-knowledge – Microsoft zarządza kluczami szyfrowania, co oznacza, że technicznie może odszyfrować Twoje pliki. Wynika to z tego, że usługa musi je odczytywać, żeby realizować wyszukiwanie, podgląd dokumentów, skanowanie antywirusowe, mechanizmy DLP (Data Loss Prevention – zapobieganie utracie danych) czy eDiscovery.

Porównanie tego, przed czym OneDrive chroni, a przed czym nie:

Dla codziennych dokumentów, zdjęć i plików roboczych OneDrive jest rozsądnym, dobrze chronionym miejscem. Dla danych wymagających pełnej poufności nawet przed operatorem usługi – wymaga dodatkowego szyfrowania po stronie klienta.

Jak OneDrive szyfruje dane?

W OneDrive for Business (wersja dla firm, integrująca się z Microsoft 365) szyfrowanie działa dwupoziomowo. Dane w tranzycie są chronione przez TLS, natomiast dane przechowywane na serwerach są szyfrowane jednocześnie na poziomie woluminu – przez BitLocker – oraz na poziomie każdego pliku z osobna.

Każdy plik jest dzielony na fragmenty, a każdy fragment otrzymuje odrębny klucz AES-256. Treść pliku, mapa opisująca kolejność i powiązania fragmentów oraz magazyn kluczy znajdują się w trzech odseparowanych komponentach infrastruktury. To oznacza, że uzyskanie dostępu do jednego z nich nie wystarczy do odtworzenia pliku – napastnik musiałby przejąć wszystkie trzy naraz. Mechanizmy szyfrowania spełniają wymagania standardu FIPS 140-2.

Dla organizacji, które chcą dodatkowej kontroli nad kluczami, Microsoft oferuje Customer Key. Pozwala on przechowywać klucze główne w Azure Key Vault (usłudze do bezpiecznego zarządzania kluczami kryptograficznymi) lub generować je przy użyciu sprzętowego modułu HSM (Hardware Security Module). Warto jednak rozumieć, na czym polega różnica: Customer Key zwiększa kontrolę nad możliwością odszyfrowania danych, ale nie zmienia OneDrive w usługę, w której wyłącznie Ty znasz klucz – Microsoft nadal zarządza częścią kluczy pochodnych i całą infrastrukturą usługową.

OneDrive Personal również korzysta z szyfrowania transmisji i danych przechowywanych w chmurze. Dodatkową opcją jest Personal Vault – wydzielony obszar wymagający ponownego potwierdzenia tożsamości (PIN, Windows Hello, kod SMS lub Microsoft Authenticator), który blokuje się automatycznie po okresie bezczynności. Personal Vault chroni głównie przed dostępem kogoś, kto przejął odblokowane urządzenie lub sesję przeglądarki – nie zmienia jednak modelu kryptograficznego i nie uniemożliwia Microsoftowi dostępu do plików. Nazwy i skróty plików w Personal Vault mogą pozostawać widoczne lokalnie, a otwarcie pliku może ujawnić jego nazwę w liście ostatnio otwieranych dokumentów Windows.

Wskazówka: Jeśli przechowujesz w OneDrive dokumenty, których treść ma pozostać poufna nawet przed operatorem chmury, zaszyfruj je lokalnie przed wysłaniem – na przykład za pomocą narzędzia, które przechowuje klucze wyłącznie po Twojej stronie. Ceną jest utrata wyszukiwania pełnotekstowego i podglądu online.

Kto ma dostęp do plików w OneDrive?

To pytanie, które warto postawić wprost – bo odpowiedź może być zaskakująca. Twoje pliki w OneDrive nie są widoczne wyłącznie dla Ciebie, nawet jeśli ich nie udostępniasz.

W OneDrive Personal Microsoft ma techniczną możliwość dostępu do treści plików w ramach uprawnień systemowych, obsługi technicznej, obowiązków wynikających z prawa lub mechanizmów bezpieczeństwa. Nie oznacza to, że ktoś rutynowo przegląda Twoje dokumenty, ale dane nie są przed dostawcą kryptograficznie niewidoczne.

W OneDrive for Business sytuacja jest bardziej złożona:

• Administratorzy Microsoft 365 w Twojej organizacji mogą mieć dostęp do plików użytkowników, przywracać je, obejmować retencją lub wyszukiwaniem w ramach eDiscovery (elektroniczne narzędzia do odkrywania danych na potrzeby postępowań prawnych).
• Microsoft zachowuje możliwość dostępu w ramach procesów wsparcia, audytów bezpieczeństwa i obowiązków prawnych.
• Polityki retencji i legal hold mogą powodować, że usunięty plik nie zniknie naprawdę – kopia pozostaje możliwa do odzyskania przez organizację przez długi czas, nawet jeśli Ty ją skasowałeś.

Z perspektywy pracownika to ważna informacja: firmowy OneDrive nie jest miejscem, które zapewnia prywatność przed pracodawcą. Z perspektywy działu IT to zaleta – umożliwia zgodność z przepisami i reagowanie na incydenty bezpieczeństwa.

Warto też pamiętać o bardziej prozaicznym scenariuszu. Funkcja synchronizacji folderów Pulpit, Dokumenty i Obrazy może nieświadomie przenieść do chmury pliki, które nigdy nie miały tam trafić – eksporty baz danych, klucze SSH, pliki konfiguracyjne z hasłami (.env), zrzuty ekranu z danymi klientów. Jeśli włączyłeś automatyczną synchronizację tych folderów, warto przejrzeć, co faktycznie trafiło do OneDrive. Widziałem kilka przypadków, w których firmy odkrywały po czasie, że poufne dane techniczne były synchronizowane do chmury od miesięcy, bo ktoś nie wyłączył domyślnych ustawień synchronizacji folderów systemowych.

Jeśli zastanawiasz się nad porównaniem tego, jak kwestię dostępu do danych rozwiązują inne usługi, warto poczytać o różnicach między dyskiem Google a OneDrive – obie usługi mają podobny model zarządzania kluczami, ale różnią się szczegółami dotyczącymi polityk prywatności i dostępu administratorów.

Czy OneDrive chroni przed ransomware i utratą plików?

Mechanizmy ochrony przed utratą danych są jednym z mocniejszych punktów OneDrive – ale mają swoje ograniczenia, o których rzadko się mówi wprost.

Wbudowane zabezpieczenia działają następująco:

• Wersjonowanie – OneDrive i SharePoint przechowują domyślnie co najmniej 500 wersji każdego pliku, co pozwala cofnąć się do wcześniejszego stanu po przypadkowej zmianie lub zaszyfrowaniu.
• Kosz – usunięte pliki pozostają dostępne przez 93 dni, zanim zostaną trwale usunięte.
• File Restore – funkcja pozwalająca przywrócić cały OneDrive do stanu sprzed określonego momentu, zasadniczo w zakresie ostatnich 30 dni.
• Wykrywanie ransomware – OneDrive monitoruje podejrzane wzorce zmian w plikach i może wysłać alert oraz zaproponować przywrócenie danych.
• Skanowanie antywirusowe – pliki są skanowane podczas pobierania przez silnik Windows Defender, z sygnaturami aktualizowanymi co godzinę.

Problem pojawia się wtedy, gdy ransomware zsynchronizuje zaszyfrowane pliki z lokalnego folderu do chmury. Klient OneDrive nie wie, że plik został zaszyfrowany przez złośliwe oprogramowanie – widzi tylko, że plik się zmienił, i wgrywa nową wersję. Chmura staje się wtedy kolejnym miejscem przechowywania zaszyfrowanych danych, a nie ich kopią zapasową.

Badanie SafeBreach, zaprezentowane na Black Hat USA 2023, opisało scenariusz, w którym atakujący kradnie token dostępu OneDrive, przejmuje konto ofiary w chmurze, zdalnie szyfruje pliki przez API, a następnie opróżnia kosz i manipuluje wersjami. Microsoft określił tę funkcjonalność jako działającą zgodnie z przeznaczeniem – co pokazuje, że legalne uprawnienia konta mogą zostać użyte do zniszczenia mechanizmów odtwarzania. Badacze Proofpoint wykazali podobny scenariusz: napastnik po przejęciu konta zmniejsza limit przechowywanych wersji, wypycha starsze wersje poza ten limit, a następnie szyfruje pliki. Bez niezależnej kopii zapasowej odzysk jest niemożliwy.

Wskazówka: Backup folderu OneDrive na ten sam komputer lub do innego automatycznie synchronizowanego folderu nie spełnia roli niezależnej kopii zapasowej. Dane krytyczne powinny trafiać do systemu z oddzielnymi poświadczeniami, retencją immutable (niezmienną) lub w standardzie WORM (Write Once, Read Many – zapis raz, odczyt wielokrotnie), który uniemożliwia nadpisanie lub usunięcie danych przez określony czas.

Jak bezpieczne jest udostępnianie plików w OneDrive?

Udostępnianie to obszar, w którym użytkownicy najczęściej nieświadomie obniżają poziom ochrony swoich danych. Link typu „każda osoba posiadająca link” działa jak publiczny token dostępu – nie wymaga logowania i może trafić w niepowołane ręce przez historię przeglądarki, skrzynkę e-mail, komunikator czy narzędzie do zarządzania projektami.

Co ważne: cofnięcie udostępnienia pliku nie usuwa kopii już pobranych przez odbiorców. OneDrive kontroluje dostęp do źródła, ale nie ma możliwości zdalnego wymazania danych po stronie osoby, która zdążyła pobrać lub zsynchronizować plik lokalnie.

Warto też pamiętać o tym, że historia wersji może ujawniać wcześniejsze treści dokumentu. Jeśli redagowałeś plik, usuwałeś z niego dane poufne, a następnie udostępniłeś go innej osobie z uprawnieniami do edycji lub przeglądania historii – ta osoba może w pewnych konfiguracjach przywrócić wcześniejszą wersję i zobaczyć to, co miało zniknąć.

Bezpieczne zasady udostępniania plików:

• Udostępniaj konkretnym osobom zamiast tworzyć linki ogólnodostępne.
• Ustawiaj datę wygaśnięcia linku, szczególnie przy danych wrażliwych.
• Nadawaj minimalne niezbędne uprawnienia – widok zamiast edycji, jeśli odbiorca nie musi zmieniać pliku.
• Regularnie przeglądaj listę osób z dostępem do ważnych folderów i plików.
• Przed udostępnieniem dokumentu z historią edycji sprawdź, czy wcześniejsze wersje nie zawierają informacji, których nie chcesz ujawniać.

Jeśli rozważasz, czy OneDrive lepiej odpowiada Twoim potrzebom niż Dropbox, warto sprawdzić porównanie Dropbox a OneDrive pod kątem kontroli dostępu i modeli współdzielenia plików.

Jakie ryzyka wiążą się z aplikacjami OAuth i uprawnieniami zewnętrznymi?

Przejęcie konta użytkownika to największe realne zagrożenie dla bezpieczeństwa OneDrive – nie włamanie do serwerów Microsoftu. Po przejęciu tożsamości napastnik korzysta z legalnych interfejsów usługi i nie musi omijać żadnego szyfrowania, bo działa po poprawnym uwierzytelnieniu. Kampania Storm-2949 opisana przez Microsoft pokazała, jak atakujący – używając socjotechniki i nadużycia procesów resetowania haseł – potrafili pobierać tysiące plików z OneDrive i SharePoint bez żadnego złośliwego oprogramowania.

OAuth (protokół autoryzacji używany do delegowania dostępu aplikacjom zewnętrznym) to kolejny słaby punkt. W 2025 roku wykryto problem w integracji OneDrive File Picker – aplikacja prosząca użytkownika o wybranie jednego pliku mogła w określonych scenariuszach uzyskać dostęp do całego magazynu, bo zakresy OAuth były zbyt szerokie, a okno zgody nie opisywało realnego poziomu uprawnień. Problem dotyczył zarówno kont osobistych, jak i firmowych.

Zmiana hasła po przejęciu konta nie wystarczy, jeśli złośliwa aplikacja nadal posiada aktywny token OAuth z dostępem do plików przez Microsoft Graph. Token działa niezależnie od hasła i pozostaje ważny do momentu jego ręcznego cofnięcia.

Co warto robić regularnie:

• Przejrzyj listę aplikacji z dostępem do konta OneDrive i usuń te, których już nie używasz.
• W organizacji: wymagaj zatwierdzania aplikacji przez administratora przed udzieleniem zgody.
• Monitoruj logi aktywności pod kątem nietypowych pobrań, zmian uprawnień i logowań z nowych lokalizacji.
• Stosuj uwierzytelnianie wieloskładnikowe (MFA) odporne na phishing – aplikację Authenticator zamiast SMS.

Raport Netskope Threat Labs z 2023 roku wskazał, że OneDrive odpowiadał za 26% wszystkich pobrań złośliwego oprogramowania z aplikacji chmurowych w Europie. To nie przypadek – popularne usługi są atrakcyjnym wektorem dystrybucji malware właśnie dlatego, że są zaufane przez narzędzia bezpieczeństwa i rzadko blokowane przez firewalle. Atakujący hostują złośliwe pliki na OneDrive ofiary lub osoby trzeciej i wysyłają linki, które wyglądają wiarygodnie.

Wskazówka: W środowisku firmowym sama obecność MFA nie chroni przed aplikacją, której użytkownik legalnie udzielił dostępu do plików. Kontrola powinna obejmować przegląd enterprise applications (aplikacji korporacyjnych), analizę zakresów OAuth i usuwanie nieużywanych integracji – nie tylko dbanie o silne hasła.

Czy OneDrive nadaje się do przechowywania poufnych danych firmowych?

OneDrive for Business jest zintegrowany z szerokim ekosystemem zabezpieczeń Microsoft 365, co czyni go dobrym wyborem dla organizacji – pod warunkiem właściwej konfiguracji. Usługa posiada certyfikacje ISO, SOC i w określonych wariantach FedRAMP, a dokumentacja audytowa jest dostępna przez Microsoft Service Trust Portal. Certyfikacje potwierdzają działanie określonych kontroli po stronie dostawcy, ale nie gwarantują bezpieczeństwa źle skonfigurowanego tenantu ani konta bez MFA.

Dla danych wrażliwych na poziomie przedsiębiorstwa sam OneDrive bywa niewystarczający – ważniejszy jest zestaw kontroli wokół niego:

• Conditional Access – zasady dostępu warunkowego, blokujące logowanie z niezaufanych urządzeń lub lokalizacji.
• DLP (Data Loss Prevention) – mechanizmy wykrywające informacje wrażliwe w plikach i blokujące ich udostępnienie poza organizację (obsługuje m.in. dokumenty Office i PDF).
• Etykiety poufności Microsoft Purview – tagują pliki według poziomu wrażliwości i wymuszają szyfrowanie, ograniczenia dostępu lub znakowanie wodnym znakiem.
• Audyt i alerty – monitorowanie masowych pobrań, usunięć i zmian uprawnień.
• Kontrola dostępu oparta na rolach – precyzyjne określenie, kto i do czego ma dostęp.

Kwestia lokalizacji danych jest osobnym zagadnieniem. Data residency (rezydencja danych) opisuje, gdzie fizycznie są przechowywane pliki, natomiast data sovereignty (suwerenność danych) obejmuje jurysdykcję prawną, dostęp administracyjny i możliwość przekazania danych na żądanie organów. Przechowywanie danych w regionie UE lub w ramach EU Data Boundary zmniejsza część ryzyk regulacyjnych, ale nie eliminuje złożonych ryzyk jurysdykcyjnych wynikających z żądań prawnych spoza UE.

Jeśli dopiero rozważasz, do czego OneDrive może Ci się przydać i czy w ogóle go potrzebujesz, pomocny może być artykuł o tym, czym jest OneDrive i jakie ma zastosowania.

Jak zwiększyć bezpieczeństwo konta OneDrive?

Rekomendacje różnią się w zależności od tego, czy korzystasz z konta osobistego, czy firmowego.

Konto osobiste

• Używaj silnego, unikalnego hasła – wymagania minimalne OneDrive to 8 znaków z kombinacją małych i wielkich liter, cyfr i symboli, ale w praktyce warto stosować co najmniej 16 znaków i menedżer haseł.
• Włącz MFA – najlepiej przez aplikację Microsoft Authenticator zamiast SMS.
• Wyłącz metody odzyskiwania konta, których nie używasz.
• Włącz alerty logowania, żeby reagować na podejrzane próby dostępu.
• Personal Vault traktuj jako dodatkową barierę dla najbardziej wrażliwych plików, nie jako zamiennik szyfrowania end-to-end.
• Regularnie przeglądaj, które aplikacje mają dostęp do konta, i cofaj niepotrzebne uprawnienia.

Konto firmowe (Microsoft 365)

• Wymuś MFA odporne na phishing dla wszystkich użytkowników – passkeys lub aplikacja Authenticator zamiast SMS.
• Wdróż Conditional Access z ograniczeniem dostępu z urządzeń niezarządzanych.
• Wyłącz publiczne linki udostępniania lub ogranicz je do zatwierdzonych przypadków.
• Wymagaj zatwierdzania przez administratora przed udzieleniem zgody aplikacjom OAuth.
• Prowadź regularny przegląd uprawnień gości i aplikacji zewnętrznych.
• Włącz audyt i alerty o masowych pobraniach, usunięciach i zmianach wersjonowania.
• Chroń dane wrażliwe etykietami poufności z szyfrowaniem i regułami DLP.

OneDrive Personal daje znacznie mniej możliwości audytu i kontroli niż OneDrive for Business – użytkownik prywatny zwykle nie wie, kiedy, skąd i przez kogo był uzyskiwany dostęp do jego plików. Jeśli potrzebujesz tej widoczności, warto zastanowić się, czy nie powinieneś używać wersji biznesowej lub uzupełnić OneDrive Personal o zewnętrzne narzędzia monitorujące.

Jeśli zastanawiasz się, czy w ogóle warto korzystać z OneDrive, czy może lepiej szukać alternatywy, artykuł o tym, czy OneDrive jest potrzebny, może pomóc Ci podjąć tę decyzję.

Podsumowanie

Bezpieczeństwo OneDrive jest solidne na poziomie infrastruktury – szyfrowanie AES-256, separacja kluczy, wersjonowanie i redundancja to realne zabezpieczenia. Słabsze punkty leżą po stronie tożsamości i uprawnień: phishing, przejęte sesje, zgody OAuth i nieprzemyślane udostępnianie plików. OneDrive nie jest systemem zero-knowledge, a Microsoft zachowuje techniczną możliwość dostępu do treści plików. Dla typowych zastosowań prywatnych i biznesowych jest to rozsądny wybór, ale dla danych wymagających pełnej poufności wymaga dodatkowego szyfrowania po stronie klienta i niezależnej kopii zapasowej poza mechanizmem synchronizacji.

FAQ

Q: Czy OneDrive automatycznie tworzy kopie zapasowe plików z komputera?

A: OneDrive synchronizuje pliki z wybranych folderów, ale synchronizacja nie jest tym samym co kopia zapasowa. Jeśli plik zostanie zaszyfrowany przez ransomware lub nadpisany, zmiana trafi też do chmury.

Q: Czy pliki usunięte z OneDrive można odzyskać po dłuższym czasie?

A: Usunięte pliki trafiają do kosza i są dostępne przez 93 dni. Po tym czasie są trwale kasowane, chyba że w organizacji obowiązują polityki retencji lub legal hold, które mogą wydłużyć ten okres.

Q: Czy OneDrive szyfruje pliki po stronie klienta, zanim wyśle je do chmury?

A: Nie. Domyślnie szyfrowanie odbywa się po stronie Microsoftu – pliki są szyfrowane na serwerach, a kluczami zarządza Microsoft. Szyfrowanie po stronie klienta wymaga użycia osobnego narzędzia przed wysłaniem pliku.

Q: Czy można używać OneDrive bez synchronizacji lokalnej, żeby nie ryzykować przypadkowego przesłania wrażliwych plików?

A: Tak. Można korzystać z OneDrive wyłącznie przez przeglądarkę lub wybrać tryb „tylko online” w aplikacji, żeby pliki nie były pobierane automatycznie na dysk lokalny.

Q: Czy OneDrive spełnia wymagania RODO dla firm przetwarzających dane osobowe?

A: Microsoft oferuje odpowiednie umowy powierzenia danych i mechanizmy zgodności z RODO, jednak samo korzystanie z OneDrive nie gwarantuje zgodności. Organizacja musi samodzielnie skonfigurować polityki dostępu, retencji i DLP oraz zawrzeć odpowiednie umowy z Microsoftem.