先说三句：真正的加拿大税局（CRA，Canada Revenue Agency）邮件只发提醒、从不带”点我领退税”的链接；假退税邮件只要看发件人域名、链接去向、语气、是否索要信息这 4 个破绽，99% 当场现形；收到可疑邮件最正确的一步不是删，而是先独立登录 CRA My Account（我的税务账户）核实、再转发到 phishing@cra-arc.gc.ca 举报。
每年报税季一到，加拿大华人的邮箱里就会准时出现” CRA 退税通知”：一封做得有模有样的邮件，告诉你有几百到几千加元的退税待领取，点个按钮、填个 SIN（社会保险号）和银行账号，钱就到账。点下去的那一刻，你的身份就落到骗子手里了。2025 年，加拿大反诈骗中心（Canadian Anti-Fraud Centre，简称 CAFC）收到超过 11.2 万起诈骗举报，损失超过 7.04 亿加元；其中身份盗用（identity fraud）是举报最多的类型，有 8,403 起。财政部还提醒：只有 5% 到 10% 的诈骗会被上报，真实损失远高于这个数字。钓鱼邮件正是身份盗用的头号入口。
先搞清楚：真正的 CRA 邮件长什么样
很多人分不清真假，根子是不了解真 CRA 邮件的”人设”。根据 Canada.ca 官方说明，CRA 邮件通知服务有几个铁律：
- 发件人域名只认两个：邮件地址必须以 @cra-arc.gc.ca 或 @canada.ca 结尾，显示名通常是”Canada Revenue Agency / Agence du Revenu du Canada”。其他任何域名都是假的，哪怕显示名写着税局全称——显示名谁都可以伪造。
- 只发提醒、不发内容：正经的 CRA 通知邮件通常很短，只告诉你”My Account 里有新消息可看”，然后让你自己打开浏览器登录 canada.ca 去看。它不会在邮件里告诉你退税具体金额，也不会告诉你欠税具体金额。
- 从不带登录按钮和表单：官方明确，通知邮件里不会有按钮或链接让你”填个表”、更不会让你在邮件里提供 SIN、银行账号等个人信息。
- 从不威胁恐吓：真邮件不会用”24 小时内不交就逮捕””退税今天过期”这类恐吓语气。
记住这四条，你就有了判定一切 CRA 相关邮件的基准线：凡是偏离的，一律按假处理。
破绽 1：发件人域名”像”官方，其实不对
这是钓鱼邮件最常用的障眼法。骗子会注册 lookalike 域名，比如 cra-arc-gc.ca（少了点或多了后缀）、cra-refund.ca、cra-arc-canada.com 等等，在手机小屏幕上扫一眼几乎看不出区别。
做法：在电脑上，把鼠标悬停在发件人名字上（不要点），看弹出的完整地址；手机上长按发件人查看详情。完整的 @ 后面必须一字不差是 cra-arc.gc.ca 或 canada.ca。另外注意：真 CRA 的通知邮件是自动 no-reply 发送的，你无法也不应该通过回邮件的方式回复税局。
破绽 2：邮件里有醒目的”登录/领退税”按钮
这是最致命的一个破绽。CRA 官方明确说过：通知邮件不会包含要求你填写个人信息或财务信息的按钮或链接。而假邮件恰恰相反——整封邮件的中心就是那个大按钮：”点击领取 $1,286 退税””立即登录确认”。
即使按钮文字看起来人畜无害，也要悬停看链接的真实去向：真链接只会指向 canada.ca 或 cra-arc.gc.ca。骗子常用短链接、子域名伪装（比如 cra.canada-secure-login.com 这种”看起来含官方词”的域名），一律不算数。原则就一条：任何税务操作，都自己手动输入 canada.ca 进去做，绝不从邮件点进去。
破绽 3：”天上掉退税”或”大祸临头”的语气
假退税邮件有两种经典剧本：
- 惊喜剧本：”您有一笔 $XXX 未领取退税，点击领取。”——CRA 从不会用邮件宣布一笔”意外之喜”的退税。退税细节只会出现在你报税后 My Account 里的 Notice of Assessment（评税通知）中。
- 恐吓剧本：”您的账户将在 24 小时内被冻结””已签发逮捕令””欠税不交将通知警方”。真税局给你的是合理的回应期限，不是最后通牒；而且 CRA 绝不会威胁逮捕或派警察。
骗子的心理学很简单：惊喜让你贪，恐惧让你慌，两种情绪都会让人跳过理性检查直接点链接。看到这两种语气，先深呼吸，再按后面的核实流程走。
破绽 4：附件，或索要 SIN / 银行信息
真 CRA 通知邮件没有附件。假邮件常附带 PDF、ZIP 或”税表”，一点开就是木马。同样，真邮件绝不会索要你的 SIN、银行账号、信用卡号或让你”验证付款信息”。凡是开口要这些的，直接判定为诈骗，不用再看其他破绽。
顺带说一句短信版：CRA 基本不通过短信沟通税务，更不会发带链接、带退税金额、带威胁的短信。官方短信只来自短代码（short code），不会是某个陌生手机号。收到”CRA 退税短信”，按假处理。
诈骗链条 5 步：你的信息是怎么一步步被偷走的
- 第 1 步：撒网。骗子群发钓鱼邮件/短信，标题多用”CRA Refund Available””Action Required: Tax Account”。
- 第 2 步：收网。你点了链接，进入高仿的”My Account 登录页”，输入用户名密码——骗子拿到你的 CRA 登录凭证。
- 第 3 步：改信息。骗子登录你的真实账户，修改邮寄地址和 direct deposit（直接存款）信息，让退税打进他们的账户。CRA 的邮件提醒服务本来会在账户重大变更时发通知，但骗子往往第一时间把通知邮箱也改掉。
- 第 4 步：冒名报税。用你的 SIN 冒名提交虚假报税表，把退税骗走；或者用你的身份去办其他事。这就是 CRA 官方列出的”身份盗用”典型信号：账户被改、收到莫名的账户变更通知、退税/福利延迟、网上报税突然报不上。
- 第 5 步：变现与转卖。骗来的退税迅速转走，你的 SIN 和个人信息还可能被打包卖给下一拨骗子。
关键数字：先看这组，再决定要不要”随手点”
- 7.04 亿加元：2025 年加拿大人向 CAFC 申报的诈骗损失总额（来源：Canadian Anti-Fraud Centre，2026 年 2 月数据）。
- 11.2 万起：2025 年 CAFC 收到的诈骗举报总数；身份盗用以 8,403 起成为举报最多的类型。
- 5%–10%：财政部估计的诈骗实际报案率——你看到的数字只是冰山一角。
- 5,770 万加元：2026 年上半年仅 spear phishing（鱼叉式钓鱼）一类就造成约 5,770 万加元损失，已接近 2025 全年的 6,800 万（来源：CAFC 2026 年 8 月诈骗趋势报告）。
- 0：CRA 通过邮件链接发放退税的次数——永远是 0。CRA 只接受通过金融机构和 Canada Post 付款，从不收礼品卡、加密货币或 Interac 转账。
中招了怎么办：1 小时急救清单
如果你已经点了链接、填了信息，别慌，按顺序做：
- 立刻改 CRA My Account 密码，并开启多重验证（MFA）。
- 打电话给 CRA（个人税务 1-800-959-8281），说明情况，要求标记账户复查。
- 联系你的银行，说明可能的信息泄露，询问是否需要冻结或加欺诈警示。
- 向 Canadian Anti-Fraud Centre 举报：网站 antifraudcentre.ca 或电话 1-888-495-8501。
- 如果 SIN 泄露，向 Service Canada 报备，并在 Equifax 和 TransUnion 两家信用局加 fraud alert（欺诈警示）。
- 如果已经转了钱，向当地警方报案。
- 把钓鱼邮件原文转发到 phishing@cra-arc.gc.ca，帮助官方封堵。
报税季 6 个防范动作：把骗子挡在门外
- 开通知：在 CRA My Account 里打开 Email Notifications（邮件提醒），账户地址、direct deposit 等重大变更会自动提醒你，这是最早的预警线。
- 建书签：把 canada.ca 的 My Account 登录页存为浏览器书签，永远从书签进，不从邮件/短信/搜索广告进。
- 查两局：每年免费查一次 Equifax 和 TransUnion 的信用报告，看有没有冒名开户。
- SIN 锁柜：SIN 只在报税、入职、办贷款等必要场合提供，平时不随身携带、不拍照存手机。
- 电话核实走官方号：任何自称 CRA 的来电/邮件里给的电话都不打，要核实就打 1-800-959-8281 这个公开号码。
- 家里老人重点讲：骗子最爱挑英语/法语不熟、对政府流程不熟的新移民和老人下手，把”税局不点链接”这句话给家人讲透。
常见坑：这 5 条红线别踩
- 坑 1：”显示名是税局就是税局”。显示名随便写，看 @ 后面的域名才是真凭据。
- 坑 2：”链接里有 canada.ca 就是真的”。骗子会用子域名伪装（如 cra.canada-secure-login.com），真域名只能是 canada.ca 或 cra-arc.gc.ca 本体。
- 坑 3：”先填了再说，大不了退税不要了”。骗子要的不是那一笔退税，是你的 SIN 和登录凭证，后续损失可能是持续的身份盗用。
- 坑 4：”打邮件里的 CRA 电话核实一下”。邮件里的电话是骗子同伙。核实只打官网公开号码。
- 坑 5：”删了邮件就没事了”。删之前先转发到 phishing@cra-arc.gc.ca 举报，你的一次举报可能帮官方拦下同一批的几千封。
新手 checklist：收到 CRA 相关邮件时
- ☐ 先看发件人完整域名：是 @cra-arc.gc.ca 或 @canada.ca 吗？
- ☐ 邮件里有登录按钮、表单或附件吗？有 = 假。
- ☐ 在宣布”意外退税”或威胁”24 小时冻结”吗？是 = 假。
- ☐ 索要 SIN、银行账号或付款信息吗？是 = 假。
- ☐ 独立打开浏览器（书签）登录 My Account，看有没有对应消息。
- ☐ 拿不准：打 1-800-959-8281 问；确认是假：转发 phishing@cra-arc.gc.ca 再删除。
FAQ：关于 CRA 诈骗最常被问到的 5 个问题
Q1：CRA 真的会给我发邮件吗？
A：会，但只发”提醒”：告诉你 My Account 里有新消息，请你自己登录去看。邮件本身不带登录链接、不带附件、不写具体金额、不索要任何信息。不符合这几条的，一律按假处理。
Q2：邮件里有个退税金额，看起来很像真的，怎么办？
A：CRA 绝不会在邮件里写你的退税具体金额。真退税金额只出现在你报税后 My Account 里的 Notice of Assessment（评税通知）中。邮件里写金额的，100% 是假的。
Q3：我点了链接但没填信息，有事吗？
A：风险低很多，但别大意：检查一下有没有下载附件、浏览器有没有提示异常；为保险起见，改一次 CRA 账户密码并确认账户信息无异常即可。
Q4：骗子已经登录过我的 My Account，我怎么知道损失了什么？
A：登录后重点查三处：邮寄地址和 direct deposit 信息是否被改、最近是否有你没提交过的报税记录、benefits（福利）发放记录是否异常。有异常立刻打 1-800-959-8281 并向 CAFC 举报。
Q5：举报真的有用吗？
A：有用。CAFC 靠举报数据锁定诈骗团伙和趋势，2026 年上半年他们还协助追回过与支付诈骗相关的 350 万加元。你的举报是官方封堵和追查的起点。
相关阅读
官方来源：CRA 官网（Recognize a scam / Scam prevention and the CRA）、Canada.ca、反诈骗中心 Canadian Anti-Fraud Centre。核验于 2026年10月18日。
关键政策以 CRA / Canada.ca / 各省官网为准。本文仅供信息参考，不构成法律/移民/医疗/投资建议。
📱 更多加拿大生活干货，欢迎加微信交流：UUUMGT
