Na pytanie, czy phishing jest nielegalny, odpowiedź jest zazwyczaj twierdząca. Ponieważ kradzież danych osobowych ma na celu kradzież tożsamości, może być karana przez prawo.