Act 20.009 regulates restitutions and damages caused by phishing, but its scope is confined to consumer relations. In this paper we look beyond this scope and consider risk distribution between parties. We hold that risk should be bear for the party in the best position. We suggest that is opinion this consistent is consistent with Chilean law beyond Act 20.009.La ley 20.009 regula obligaciones restitutorias e indemnizatorias derivadas del phishing, sin embargo, su alcance se limita a las relaciones de consumo. En este trabajo consideramos la distribución del riesgo entre las partes (el emisor y el usuario) más allá de la ley 20.009, esto es, a partir de lo regulado por ellas en el contrato. Lo que proponemos es que el riesgo debe adjudicarse a quien está en mejor posición de evitarlo. Estimamos que esta opinión resulta consistente con el derecho chileno más allá de su disciplina en la ley 20.009.