Freese集团遭黑客攻击后的网络钓鱼邮件分析（2025年11月）

事件概述

2025年11月26日，Freese集团遭遇网络安全事件，攻击者劫持了该公司的邮箱账户。自2025年11月中旬以来，攻击者利用Freese集团的服务器发送网络钓鱼邮件。一位读者报告称收到了试图窃取微软服务登录凭证的钓鱼邮件。

Freese集团背景

Freese集团是德国西北部（奥尔登堡周边地区）的宝马/Mini经销商，主要经营二手车业务。据该公司自称，这家企业集团六十多年来（自1953年起）在六个地点设有汽车经销店，包括奥尔登堡、韦斯特施泰德、威廉港和耶弗尔等地。作为宝马股份公司的授权经销商，Freese集团提供宝马、宝马M、宝马i、宝马摩托车和Mini等品牌的车辆及相关服务。

读者提供的钓鱼邮件详情

一位博客读者于2025年11月24日通过电子邮件联系我，告知了Freese集团的安全事件（对此表示感谢）。该读者偶尔会提醒我注意此类事件，并写道"我又发现了一起网络安全事件"。

读者写道，Freese集团（读者所在地区授权的宝马/Mini经销商）显然成为了网络攻击的受害者。该读者在2025年11月20日16:04:03收到了一封伪造的电子邮件，声称来自该集团的销售员工之一。

这封邮件包含一个伪装成发票的链接（见上方截图）。读者写道，点击此链接会将用户重定向到一个试图窃取微软凭证的页面。但他没有向我发送该链接的URL，因为伪造的微软页面目前已经离线。

安全分析结果

这位从事网络安全领域的读者分析了相关电子邮件，得出结论：该消息是通过Freese集团的合法电子邮件服务器发送的。

基于这一认识，他致电了该公司，据他称，公司确认可能已被"黑客攻击"。他并不是第一个报告此情况的人。

影响范围与响应问题

博客读者补充说，他在2025年11月21日上周五从该地区的多个中小型企业获悉，这些企业也收到了相同的邮件。这些中小型企业的员工部分也打开了此链接。

令人不满的是：“直到今天，该集团网站上没有关于此事件的通知”，读者写道。我在撰写文章时查看了一下，也没有发现任何通知。据目前所知，客户很可能也没有收到关于此事件的通知。因此，我假设也没有向相关监管机构进行GDPR通知。尽管根据我的评估，Freese属于中小型企业，但GDPR方面的报告和通知义务应该适用并需要履行。

技术讨论

在评论部分，读者们对事件进行了技术讨论：

• 有读者询问使用了什么工具进行如此漂亮的分析
• 多位读者提到使用NoSpamProxy（Net at Work GmbH的产品）进行邮件安全防护
• 讨论了邮件服务器被配置为"开放中继"或恶意行为者访问电子邮件基础设施的情况
• 分析了当账户被黑客入侵时，包括DKIM签名在内的真实邮件基础设施发送钓鱼邮件的责任问题
• 分享了类似案例中通过邮件头分析识别伪造发件人的经验

法律责任考量

评论中还讨论了相关法律责任问题：

• 当邮件从公司影响范围内发送（通过SPF、DKIM、DMARC验证）时，公司是否应对造成的损失负责
• 最近有关 manipulated PDF 发票的案例，客户无需重新付款，公司需承担损失
• 企业最终几乎总是需要承担责任，仅依赖微软的保护是疏忽大意的

此帖子归档在邮件、安全分类下，并标记了黑客、邮件、安全关键词。