Como desativar dispositivos USB no Windows 11 e Windows 10

Bloquear o acesso a dispositivos USB é um ponto importante de segurança em implantações de Windows 11 e Windows 10 nas organizações, assim como em dispositivos pessoais: evita a propagação de malware, o roubo de dados e até danos físicos aos equipamentos. Este guia direto mostra como desativar dispositivos USB no Windows e lidar com os riscos que eles trazem.

Se preferir assistir em vez de ler, veja este vídeo sobre Como desativar dispositivos USB no Windows 10 e 11.

Como desativar dispositivos USB no Windows

O método escolhido depende de você gerenciar um único dispositivo ou vários.

IMPORTANTE: todos os métodos exigem login como Administrador para funcionar corretamente. Antes de alterar qualquer coisa no sistema, faça um backup completo.

Método 1: desativar o armazenamento USB pelo Editor do Registro do Windows

Esse método bloqueia os dispositivos de armazenamento, mas mantém os demais dispositivos USB funcionando. Ele é feito pelo Registro do Windows:

1. Clique com o botão direito no botão Iniciar, clique em Executar e digite “regedit” para abrir o Editor do Registro.
2. No Editor do Registro, vá até HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesUSBSTOR.
3. Edite o valor da chave de registro Start no caminho USBSTOR e altere para 4. T
   • Para desfazer a mudança e reativar o armazenamento USB, volte Start para 3.

Com o valor da chave Start em USBSTOR definido como 4, nada acontece ao conectar um dispositivo USB e um erro aparece na entrada do Gerenciador de Dispositivos referente ao dispositivo de armazenamento.

Método 2: desativar o armazenamento USB pelo Editor de Política de Grupo

Também dá para usar a Política de Grupo para bloquear o acesso a dispositivos USB em uma única máquina ou em um domínio do Windows com o Active Directory:

1. Clique com o botão direito no botão Iniciar, clique em Executar e digite “gpedit.msc” para abrir o Editor de Política de Grupo.
2. No Editor de Política de Grupo, use a árvore de navegação no painel esquerdo para ir até Configuração do Computador > Modelos Administrativos > Sistema > Acesso de Armazenamento Removível.
3. No painel direito, selecione Discos removíveis: negar acesso de execução.
4. Marque Ativado para habilitar a política e desativar o armazenamento USB removível.

Para aplicar essa política a várias máquinas em um domínio do Windows, use o Console de Gerenciamento de Política de Grupo executando gpmc.smc em um controlador de domínio. Em seguida, ative a política acima para a unidade organizacional em que quer desativar o armazenamento USB removível. Assim, é possível aplicar a restrição conforme o grupo a que os usuários pertencem ou para máquinas específicas.

Método 3: desativar portas USB pelo Gerenciador de Dispositivos

Para bloquear o acesso USB em um único computador, use o Gerenciador de Dispositivos.

1. Clique com o botão direito no botão Iniciar e clique em Gerenciador de Dispositivos.
2. Expanda o item Controladores USB (barramento serial universal).
3. Clique com o botão direito e desative as portas USB conforme a necessidade.

Antes de mexer em qualquer coisa, crie um ponto de restauração do sistema para poder reverter caso desative dispositivos críticos por engano.

Método 4: bloquear o acesso USB com ferramentas de terceiros

Vários produtos permitem desativar dispositivos USB no Windows e, em alguns casos, gerenciar os dispositivos remotamente. Entre eles estão o USB Block e o USB Lock RP.

A menos que precise controlar quais dispositivos USB específicos podem ser conectados, instalar um software extra de gerenciamento USB costuma ser desnecessário, já que o próprio Windows bloqueia o acesso ao armazenamento USB (inclusive com a opção de restringir outros tipos específicos de dispositivos USB com o PowerShell).

Se o ambiente corporativo exige uma proteção mais robusta, uma solução completa de segurança de endpoint cobre tanto os riscos dos dispositivos USB quanto outros vetores de ameaça cibernética.

Os riscos dos dispositivos USB

O armazenamento USB removível traz vários riscos que desaparecem quando o uso é desencorajado ou impedido:

• Vazamento e roubo de dados: um funcionário pode perder com facilidade um pen drive com informações confidenciais, o que gera um vazamento de dados. O roubo também é um problema, assim como o risco de alguém burlar as restrições de acesso usando o computador de um colega para copiar em um pen drive informações a que não deveria ter acesso.
• Perda e corrupção de dados: dispositivos USB não são mídias de armazenamento confiáveis. Desencorajar o uso elimina o risco de um funcionário mover dados importantes para um pen drive e depois perdê-los ou corrompê-los.
• Infecções por malware e no firmware: parte do malware se espalha por USB, seja em arquivos, seja oculto no firmware, driblando as proteções de rede. Além disso, alguns ataques acontecem quando um pen drive infectado é deixado de propósito onde o funcionário visado provavelmente vai encontrá-lo e conectá-lo para ver o conteúdo (no balcão de uma loja ou na recepção de um prédio, por exemplo).

Os dispositivos USB também representam uma ameaça física. Atacantes já usaram pen drives especiais, equipados com hardware de alta tensão, para danificar aparelhos no momento em que são conectados. Por isso, proteger dispositivos de uso público é essencial: além de desativar o armazenamento USB, convém restringir o acesso às portas USB físicas.

Além dos riscos técnicos, muitos frameworks de conformidade (como HIPAA, GDPR e PCI DSS) exigem controle rigoroso sobre mídias removíveis. Desativar o armazenamento USB ajuda as organizações a cumprir essas obrigações de segurança.

Casos de uso e impactos de desativar dispositivos USB

O maior impacto de desativar o armazenamento USB recai sobre os usuários. Para reduzir reclamações de que o pen drive parou de funcionar, avise sobre as mudanças feitas nos dispositivos.

Algumas soluções de segurança para Windows permitem liberar dispositivos de armazenamento USB específicos, mas isso não impede que sejam usados em outros computadores fora do seu controle e acabem infectados por malware. Em vez disso, considere oferecer armazenamento na nuvem ou compartilhamentos de rede que podem ser monitorados contra uso indevido e malware, para que os usuários compartilhem arquivos ou trabalhem neles fora do escritório.

Proteger endpoints manualmente abre brechas de segurança

Tentar gerenciar manualmente mais do que alguns poucos dispositivos quase sempre resulta em configuração incorreta, o que deixa os equipamentos da organização expostos às ameaças do armazenamento USB inseguro. Aplicar as mesmas políticas a todos os dispositivos é fundamental para manter consistência e facilitar a manutenção.

Se a sua missão é proteger vários dispositivos Windows em uma rede, considere uma solução de segurança que cubra não só os riscos dos dispositivos USB, mas também ameaças cibernéticas como malware, phishing, hackers e erro humano. O gerenciamento de endpoints da NinjaOne dá visibilidade total da sua frota de dispositivos e permite aplicar políticas do Windows em escala. Ele reforça a postura de segurança com controles operacionais como aplicação de patches, configuração e correção de vulnerabilidades, e se integra às ferramentas de segurança de endpoint responsáveis pela detecção e resposta a malware.