Jeśli strona z logowaniem nie zawiera w adresie nazwy protokołu HTTPS, powinno się zgłosić to pracownikom banku i nie podawać na niej żadnych danych. Nie zaleca się używania starszych przeglądarek internetowych (np. Internet Explorer), które bywają często podatne na różne błędy. Alternatywnie można korzystać z innych programów, jak Mozilla Firefox czy Opera lub Microsoft Edge (których najnowsze wersje wyposażone są w filtry antyphishingowe) albo z oprogramowania firm trzecich chroniącego przed phishingiem. Używanie OpenDNS.
Brytyjskie National Cyber Security Centre zaleca obronę wielowarstwową, łączącą zabezpieczenia techniczne (np. filtrowanie poczty i uwierzytelnianie wieloskładnikowe), procedury oraz edukację użytkowników. Szkolenia, w tym symulowane kampanie phishingowe, pomagają rozpoznawać część wiadomości, ale żadne szkolenie nie nauczy użytkowników wykrywania wszystkich ataków. Według NCSC ważniejsze od karania za kliknięcie jest stworzenie kultury, w której pracownicy chętnie zgłaszają podejrzane wiadomości.