Pelaku mengaku sebagai pegawai DJP bahkan hingga mengirimkan foto kartu identitas pegawai, mengirimkan data pribadi maupun data perusahaan korban dengan sangat mendetail, bahkan data tersebut tidak dimiliki oleh DJP namun, penipu memilikinya. Atas data tersebut, biasanya data yang diberikan dibuat keliru, agar korban terpancing untuk melakukan perubahan data melalui pelaku. Pelaku juga tidak jarang mengirimkan lampiran surat yang seolah-olah dibuat oleh DJP. Bagi orang awam mungkin terlihat meyakinkan, namun jika diteliti sangat jelas terlihat bahwa surat tersebut palsu.

Selanjutnya pelaku akan menelepon hingga melakukan panggilan video dengan korban. Panggilan tersebut biasanya dilakukan diluar jam operasional kantor, yakni diluar pukul 08.00 s.d. 16.00 hari senin s.d. jumat. 

Tahap selanjutnya, pelaku akan meminta korban untuk mengunduh aplikasi “coretax“ maupun “M-Pajak Baru”, melalui link maupun berbentuk file .apk yang dikirimkan oleh pelaku. Setelah korban mengunduh aplikasi tersebut, seketika ponsel korban tidak bisa digunakan, akan muncul tampilan aplikasi yang diunduh dan tidak bisa dikontrol oleh korban. Pada saat inilah pelaku meretas ponsel korban dan mengosongkan rekening korban. Selain melalui aplikasi, pelaku juga melakukan penipuan dengan memanipulasi korban untuk melakukan transfer dana guna mengosongkan rekening korban.