Mùa khai thuế đang bị tội phạm mạng lợi dụng để nhắm vào người nắm giữ crypto bằng các website giả mạo cơ quan thuế.
Kaspersky cho biết họ đã phát hiện nhiều chiến dịch phishing tại Đức, Pháp, Áo, Thụy Sĩ, Brazil, Chile và Colombia. Điểm chung của các vụ này là dẫn người dùng tới các trang trông như cổng dịch vụ công hoặc cổng thuế thật, rồi tìm cách lấy seed phrase của ví crypto hoặc đánh cắp dữ liệu cá nhân, tài chính.
- Nhóm lừa đảo dùng website giả mạo cơ quan thuế để tạo cảm giác bắt buộc phải “xác minh”.
- Người bị nhắm tới có thể bị yêu cầu nhập seed phrase, tức khóa khôi phục cho phép kiểm soát toàn bộ ví.
- Không chỉ người dùng crypto, các chiến dịch này còn nhắm vào người nộp thuế nói chung bằng mã độc, file cài đặt và thông tin giả để chiếm dữ liệu cá nhân.
Cách các trang giả mạo dụ người dùng tự tiết lộ seed phrase
Những website này thường sao chép giao diện của cổng thuế thật, như ELSTER của Đức hoặc một “Crypto Tax Compliance Portal” giả mạo Bộ Kinh tế và Tài chính của Pháp. Trang lừa đảo nói rằng thu nhập từ crypto được miễn thuế, nhưng chỉ sau khi người dùng hoàn tất một quy trình “xác minh”. Ở bước cuối, nạn nhân bị yêu cầu nhập seed phrase, tức khóa khôi phục cho phép truy cập và kiểm soát ví tiền điện tử.
Kaspersky cho biết trang giả mạo của Đức nhắm tới người dùng Ledger, Trezor, Trust Wallet, MetaMask, Phantom, Coinbase và một số dịch vụ ví phổ biến khác. Bản giả mạo của Pháp cũng nhắm vào MetaMask, Binance, Coinbase, Trust Wallet và WalletConnect. Các trang này thường kèm lời đe dọa về hậu quả pháp lý nếu người dùng không làm theo, nhằm phá vỡ phản xạ an toàn cơ bản là không bao giờ chia sẻ seed phrase.
Không chỉ nhắm vào người dùng crypto
Các chiến dịch này cũng mở rộng sang người nộp thuế thông thường. Theo Kaspersky, họ phát hiện nhiều website phishing tại cùng các quốc gia nói trên nhằm đánh cắp thông tin cá nhân. Ở Chile, một trang giả hứa hoàn thuế khoảng 375 USD rồi trừ tiền trực tiếp từ thẻ tín dụng của nạn nhân.
Tại Colombia, các website chính phủ giả yêu cầu người dùng tải về file ZIP có bảo vệ bằng mật khẩu; file này cài mã độc lên thiết bị. Ở Pháp, một chiến dịch giả danh kiểm toán thuế, gửi file PDF chứa mã độc thay vì tài liệu chính thức và cảnh báo người dùng về việc kê khai thu nhập chưa đầy đủ. Tại Brazil, kẻ gian dựng website nhận làm thủ tục khai thuế có thu phí rồi thu thập tên, số điện thoại, địa chỉ, ngày sinh, email và mã số định danh người nộp thuế.
Kaspersky nói rằng việc lộ mã số định danh người nộp thuế có thể khiến nạn nhân dễ bị làm hồ sơ vay giả, bị chiếm đoạt tài khoản chính phủ và gặp thêm các hình thức lừa đảo xã hội khác.
Vì sao rủi ro với người nắm giữ crypto tăng lên
Mối đe dọa không dừng ở một lớp lừa đảo. Trong tháng 1.2026, ứng dụng khai thuế crypto của Pháp là Waltio cho biết nhóm “Shiny Hunters” tuyên bố đã lấy được dữ liệu cá nhân của khoảng 50.000 người dùng. Dữ liệu bị lấy gồm email và thông tin về số dư crypto. Ở Pháp, tình trạng rò rỉ thông tin người nắm giữ crypto cũng đã gắn với nhiều vụ bắt cóc và đột nhập nhà trong những tháng gần đây.
Đến tháng 4.2026, nhóm GReAT của Kaspersky cho biết một trojan truy cập từ xa mới tên CrystalX, được bán theo hình thức thuê bao trên Telegram, có tính năng giám sát clipboard. Tính năng này cho phép kẻ tấn công bắt các địa chỉ ví vừa được sao chép và thay bằng địa chỉ do chúng kiểm soát. Mã độc này cũng lấy mật khẩu từ trình duyệt, Steam, Discord và Telegram, đồng thời cho phép điều khiển thiết bị bị nhiễm từ xa.
Dữ liệu hiện có cho thấy các chiến dịch phishing đang phối hợp nhiều cách tiếp cận: giả mạo cổng thuế, gửi file độc hại, lừa tải tài liệu và khai thác thông tin cá nhân đã bị rò rỉ. Tuy vậy, chưa có thêm chi tiết để kết luận phạm vi thiệt hại thực tế của từng chiến dịch riêng lẻ.
Những điểm cần nhớ về dấu hiệu lừa đảo này
Cơ quan thuế thật sẽ không yêu cầu người dùng cung cấp seed phrase của ví crypto. Cũng không có cổng “xác minh ví” chính thức của cơ quan nhà nước, và quy định của EU không yêu cầu seed phrase vì bất kỳ lý do nào. Bất kỳ website nào hứa miễn thuế cho thu nhập crypto nhưng lại đòi nhập seed phrase hoặc tải file không rõ nguồn gốc đều phải được xem là có rủi ro cao.
Với các dữ kiện hiện có, trọng tâm của vấn đề nằm ở việc tội phạm mạng đang khai thác đúng thời điểm khai thuế để tạo cảm giác cấp bách và hợp pháp. Điều này làm tăng rủi ro cho cả ví crypto lẫn dữ liệu cá nhân, nhưng chưa có đủ thông tin để đánh giá mức độ lan rộng của từng chiến dịch hay số nạn nhân thực tế.
Tổng kết
Các chiến dịch phishing liên quan mùa khai thuế đang dùng website giả mạo cơ quan thuế để lấy seed phrase, dữ liệu cá nhân và thông tin thanh toán. Kaspersky cho biết các chiến dịch này xuất hiện ở nhiều nước và nhắm vào cả người dùng crypto lẫn người nộp thuế thông thường. Hiện chưa có thêm chi tiết nào cho thấy mức độ thiệt hại cuối cùng, nhưng dữ liệu được nêu đủ để cho thấy đây là một hướng tấn công đang được triển khai theo nhiều lớp khác nhau.
