Segundo a nota publicada no Portal das Finanças, os burlões estão a utilizar endereços de correio eletrónico com assuntos como "Documento para regularização 3 IRS 2024" ou "Conclusão pendente 3 Deduções Provisórias IRS". Os remetentes utilizam nomes falsos como "Financas Deducao" ou "Deduções", mas os endereços reais (terminados em @resolucaocidadaosempapel.blog ou @rumolivre.blog) revelam a fraude.
