加拿大报税季刚结束，诈骗分子却开始趁机疯狂行动。近日，针对安省居民的新一轮“CRA钓鱼邮件”正在扩散。骗子冒充加拿大税务局（CRA）发送带有恶意附件的电子邮件，企图诱导民众下载恶意软件（malware），进而窃取银行信息、税务资料以及个人身份数据。

根据 YorkRegion.com 于 5 月 7 日的报道，目前已有大量居民收到自称来自 CRA 的“税务文件通知”，邮件要求收件人查看“新的税务文件”或下载所谓的 PDF 附件。但 CRA 已明确表示：这些邮件全部都是诈骗。

CRA 发言人向 Metroland Media 强调，加拿大税务局官方发送的邮件不会包含附件，通常也不会附带链接，更不会要求纳税人通过邮件输入个人或财务信息。官方通知只会提醒纳税人直接登录自己的 My CRA Account 查看消息。CRA 同时提醒，纳税人必须通过 CRA 官方网站手动登录账户，而不是点击邮件中的任何链接进入。

此外，真正的 CRA 邮件地址，其域名必须是“@cra-arc.gc.ca”。骗子虽然可能把发件人名称伪装成“Canada Revenue Agency”，但真正查看邮箱地址后，会发现并不是 CRA 官方域名。

骗子如何操作？为什么这类邮件危险性极高

本轮诈骗中，骗子主要通过“新税务文件”“退税通知”等理由诱导用户下载附件。有些附件会伪装成 PDF 文件，甚至还附带所谓的“解锁密码”，让受害者误以为是正式税务文件。但实际上，这些文件内部往往包含恶意链接或隐藏程序，一旦打开，设备可能立刻被感染。

根据网络安全公司 Proofpoint 的说明，这类恶意附件不仅可能窃取用户个人资料，还可能成为黑客进入整个设备系统、甚至企业内部网络的入口。很多黑客攻击，最初就是从一封普通邮件开始。

CRA 与网络安全机构指出，恶意附件可能释放多种危险软件，包括：

• 勒索软件（Ransomware）：会加密电脑文件并锁定设备，要求受害人支付赎金。
• 间谍软件（Spyware）：会秘密收集银行信息、密码、身份资料等敏感数据，并发送到黑客控制的服务器。

除此之外，病毒程序还可能破坏系统并传播到其他设备。

更危险的是，这类恶意文件往往会伪装成普通文档、图片或压缩文件。黑客最常使用的文件格式包括 .exe、.zip、.rar 和 .7z 等，不少人误以为只是普通文件，结果在点击后便已经中招。

CRA提醒：电话、短信、纸质信件也可能是骗局

CRA 表示，如今的诈骗已经不只是邮件那么简单。骗子还可能通过短信、电话、WhatsApp、纸质信件甚至面对面接触的方式冒充税务局。

他们常见的套路包括谎称有退税、福利金，或者声称纳税人欠税，并以“冻结账户”“坐牢”“法律后果”等说法制造恐慌，逼迫受害人立刻付款或提供个人资料。

CRA 特别强调，真正的税务局不会在沟通中使用恐吓性语言。官方唯一会主动发送短信的情况，是发送多重身份验证验证码（MFA）。除此之外，任何自称 CRA 的短信都需要高度警惕。

根据 CRA 官方说明，只有两种情况下，居民才可能收到 CRA 邮件：

• 用户已经主动注册电子通知功能，并且账户内确实有新消息。
• 纳税人在与 CRA 官方人员通话或会面时，主动要求发送链接、表格或资料。

除此之外的陌生邮件，都需要特别小心。

如何保护自己？CRA建议居民这样做

CRA 与网络安全机构建议，收到任何涉及税务、退税、福利金或账户验证的信息时，第一步永远不是点击，而是先核实。

如果有人自称 CRA 打电话过来，最安全的做法是直接挂断，然后通过加拿大政府官方网站上的官方号码自行回拨确认，而不是使用对方提供的电话号码。对于邮件和短信，也不要点击任何链接，更不要输入 SIN、银行账户、密码或信用卡信息。

真正安全的方式，是自己打开浏览器，手动进入 CRA 官方网站登录账户。

网络诈骗最大的特点，就是制造“紧急感”。骗子希望受害者因为害怕、焦虑或者担心错过退款，而在没有思考的情况下立刻行动。但真正的 CRA 通常不会要求纳税人“马上处理”，更不会通过附件或陌生链接索取敏感信息。

近年来，加拿大针对居民的诈骗正在迅速升级。骗子不仅冒充 CRA，还会模仿银行、Canada Post、Amazon、物流公司甚至大型电信企业。随着 AI 技术的发展，这类诈骗未来只会越来越逼真。

因此，凡是涉及税务、银行、退款、账户验证的信息，都一定要多停一步、多查一步。很多时候，真正保护资金安全的，并不是技术，而是保持警惕。