Historial de pendrives desconectados en Windows: Cómo verlo y borrarlo

PCHardwarePro » Tutoriales » Historial de pendrives desconectados en Windows: Cómo verlo y borrarlo

¿Alguna vez te has preguntado si tu ordenador guarda memoria de aquel pendrive que conectaste hace meses y que ya ni recuerdas dónde dejaste? Pues sí, Windows tiene una especie de memoria a largo plazo para el hardware. No es que el sistema quiera espiarte ni nada parecido, sino que es una cuestión de pura comodidad técnica para que, cuando vuelvas a enchufar el mismo dispositivo, el PC no tenga que empezar a instalarlo todo desde cero como si fuera la primera vez.

Mucha gente se ha llevado un susto al descubrir que existen estos rastros, pensando que el sistema operativo guarda una copia de sus archivos privados. Pero tranquilos, que no es así. Lo que Windows hace es almacenar metadatos del hardware, básicamente el «DNI» del dispositivo, para reconocerlo al vuelo. En este artículo vamos a desgranar dónde se esconde esta información, cómo puedes consultarla y, sobre todo, cómo limpiar el sistema de esos «dispositivos fantasma» que ya no necesitas.

El corazón del rastro: la clave USBSTOR y el Registro

Cuando insertamos una unidad de almacenamiento, el sistema crea una entrada en el Registro de Windows para gestionarla. La ruta principal donde ocurre toda la magia es HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\USBSTOR. Aquí es donde Windows anota el nombre del fabricante, el modelo y el número de serie único de cada unidad.

Es fundamental entender que este comportamiento no es exclusivo de Microsoft. Tanto macOS como Linux hacen cosas parecidas; el primero usa IOKit y el segundo udev para mantener una base de datos de hardware. El objetivo es cargar el controlador adecuado y facilitar el diagnóstico si algo falla. Un detalle técnico importante es que no todo el almacenamiento va al mismo sitio. Mientras que la mayoría usa el controlador Usbstor.sys, las unidades más rápidas que utilizan el protocolo USB Attached SCSI (UASP) se registran bajo Uaspstor.sys.

¿Qué datos quedan guardados exactamente?

Si te metes a curiosear en el registro, verás que Windows guarda cosas como el identificador de instancia, la letra de unidad que se le asignó (por ejemplo, la D: o E:), y marcas de tiempo muy precisas. Podemos saber cuándo fue la primera vez que se instaló el dispositivo, la última vez que se conectó y el momento exacto en que se extrajo.

Lo que absolutamente no se guarda en USBSTOR es el contenido de la memoria. No hay una lista de los archivos que tenías dentro ni un registro de qué documentos copiaste al disco duro. Eso sí, ten en cuenta que otras funciones como los «Elementos recientes» o las auditorías de almacenamiento podrían dejar huellas independientes, pero no forman parte del registro técnico del hardware.

Cómo rastrear pendrives usando herramientas del sistema

Si quieres jugar a ser detective en tu propio PC, tienes varias vías. La más sencilla es el Administrador de dispositivos. Solo tienes que ir al menú Ver y marcar la casilla de Mostrar dispositivos ocultos. Verás que aparecen algunas unidades en color grisáceo; esos son los famosos dispositivos fantasma.

Para los que prefieren la consola, PowerShell es la herramienta definitiva. Ejecutando el comando reg query HKLM\SYSTEM\CurrentControlSet\Enum\USBSTOR /s puedes volcar toda la información del registro. Si buscas algo más legible, el cmdlet Get-PnpDevice -Class DiskDrive te dará una lista de todas las unidades. Si le añades el parámetro -PresentOnly, podrás comparar cuáles están conectadas ahora y cuáles son rastros de dispositivos antiguos.

El Visor de Eventos: el diario secreto de Windows

Si necesitas saber la fecha y hora exacta de una conexión, el Visor de Eventos es tu mejor aliado, aunque viene desactivado por defecto. Para activarlo, debes navegar hasta Microsoft > Windows > DriverFrameworks-UserMode > Operativo y hacer clic derecho para habilitar el registro.

Una vez activo, Windows registrará eventos específicos. El ID de evento 2003 indica que se ha conectado un dispositivo, mientras que el ID 2102 se dispara cuando se desconecta. Para no volverse loco buscando entre miles de líneas, lo ideal es crear una vista personalizada filtrando solo estos IDs. Otra alternativa es monitorear el origen Kernel-PnP, que registra cualquier cambio de hardware en el equipo, permitiéndonos identificar el ID de hardware y compararlo con las propiedades del dispositivo en el Administrador de dispositivos.

Otras fuentes de evidencia forense

Para los peritos informáticos, existen archivos de texto que son minas de oro. El archivo setupapi.dev.log, ubicado en C:\Windows\inf\, guarda un registro cronológico de cada instalación de dispositivo. Buscando la marca o el número de serie en este archivo, se puede obtener la fecha y hora exactas de la primera instalación.

Además, la clave HKEY_LOCAL_MACHINE\SYSTEM\MountedDevices es clave porque almacena el mapeo entre los volúmenes y las letras de unidad asignadas, lo que permite reconstruir qué letra tenía cada pendrive en el pasado.

Cómo borrar el historial y limpiar el PC

Si quieres borrar estas huellas por privacidad o porque vas a vender el equipo, tienes varias opciones. La más segura es volver al Administrador de dispositivos, activar los dispositivos ocultos y seleccionar Desinstalar dispositivo sobre la unidad fantasma. Esto elimina el registro asociado sin riesgo de romper el sistema.

Para quienes buscan una limpieza profunda, existen herramientas de terceros muy eficaces. USBDeview de NirSoft permite listar todo y borrar entradas rápidamente, mientras que USBOblivion está diseñada específicamente para limpiar los rastros de periféricos en el Registro. Si prefieres PowerShell, puedes usar Remove-PnpDevice pasando el ID de instancia, aunque siempre es recomendable crear un punto de restauración antes de tocar el Registro manualmente.

Consejos extra y problemas comunes

A veces, algunos usuarios notan que el PC hace el sonido de desconexión USB constantemente. Esto puede deberse a la suspensión selectiva de USB, una función de ahorro de energía que corta la corriente a los puertos inactivos. Se puede desactivar en las Opciones de Energía, dentro de la configuración avanzada del plan seleccionado.

Para evitar dejar rastros en el futuro, lo mejor es usar encriptación como BitLocker To Go y, si realizas operaciones muy sensibles, arrancar el ordenador desde un sistema Linux en modo Live, ya que así no se escribirán registros en el disco duro de Windows. Recuerda que borrar las claves del registro es útil, pero para una eliminación forense total se requieren herramientas mucho más agresivas que sobrescriban los datos del disco.

Windows mantiene un registro detallado de cada unidad de almacenamiento conectada a través de claves como USBSTOR y logs como setupapi.dev.log, guardando números de serie y fechas, pero nunca el contenido de los archivos. Estas huellas se pueden consultar mediante el Administrador de dispositivos, PowerShell o el Visor de Eventos, y pueden eliminarse de forma segura desinstalando los dispositivos ocultos o utilizando software especializado como USBDeview para dejar el sistema limpio.