Penelitian ini bertujuan untuk mengkaji pengaturan hukum positif di Indonesia terkait tindak pidana phishing dalam transaksi e-commerce, serta menganalisis perlindungan hukum terhadap korban tindak pidana phishing menurut hukum positif di Indonesia. Penelitian ini menggunakan metode hukum normatif dengan pendekatan perundang-undangan dan konseptual, serta menggunakan data sekunder berupa bahan-bahan hukum yang dikumpulkan melalui studi kepustakaan. Hasil penelitian ini menunjukkan bahwa pengaturan hukum terkait phishing diatur dalam beberapa regulasi, seperti UU ITE, UU Perlindungan Data Pribadi, dan KUHP yang masih berlaku saat penelitian ini dilakukan serta perubahannya pada UU KUHP yang baru berlaku pada tahun 2026 mendatang. Regulasi-regulasi tersebut memungkinkan pelaku dijatuhi pidana penjara dan/atau pidana denda. Adapun perlindungan hukum untuk korban tergantung pada penyebab phishing terjadi. Jika karena kelalaian e-commerce, pihak penyedia layanan dapat dituntut berdasarkan PP PMSE dan POJK tentang LPBBTI untuk bertanggungjawab atas kerugian yang dialami korban. Namun, jika phishing terjadi karena kelalaian korban, perlindungan hukum dapat dilihat dari sisi perdata dengan dasar Pasal 1320 KUHPer dan pidana berdasarkan UU KUHP yang akan berlaku pada tahun 2026 mendatang.