Broker autorizzati CONSOB: come si verifica un broker in due minuti

Quasi nessun broker online è "autorizzato dalla CONSOB" in senso stretto: la gran parte ha una licenza in un altro Paese UE ed è solo notificata in Italia. Qui c'è la procedura in cinque controlli, con le schermate vere dei registri lette il 13 ottobre 2026.

La risposta breve. Un broker può operare con i clienti italiani in tre modi legali: come SIM iscritta all'albo CONSOB, come banca vigilata dalla Banca d'Italia, oppure come impresa di un altro Stato UE che ha notificato alla CONSOB il proprio "passaporto". Tutti e tre i casi si controllano negli elenchi pubblici della CONSOB, cercando il nome della società, non il marchio. Poi si guarda il registro dell'autorità d'origine e si confronta il dominio del sito. Chi non compare da nessuna parte non è autorizzato.

I numeri degli elenchi, aggiornati dalla CONSOB al 9 ottobre 2026 e letti il 13 ottobre: 58 SIM nell'albo, 46 imprese UE con una succursale in Italia, 851 imprese UE in libera prestazione, cioè senza sede qui. Dall'altra parte ci sono 1.838 siti oscurati dalla CONSOB da luglio 2019, l'ultimo blocco annunciato il 9 ottobre 2026.

I cinque controlli vanno in fila. Se uno fallisce, i successivi non servono. Superati tutti, la società è autorizzata: costi, piattaforme e servizi sono un'altra verifica, quella della guida alla scelta del broker.

"Autorizzato CONSOB" è un'etichetta usata in modo largo da molti siti di confronto. Il registro distingue quattro situazioni diverse, e ognuna ha conseguenze diverse per chi apre un conto.

Autorizzato in Italia. È una SIM o una banca italiana. L'autorizzazione la rilascia la CONSOB (per le SIM) o la vigilanza bancaria, e la società risponde direttamente alle autorità italiane. Esempi: Directa SIM, iscritta all'albo con il numero 59; BG Saxo SIM; Fineco, che è una banca.

Passaportato UE. La licenza è di un'altra autorità europea: CySEC a Cipro, BaFin in Germania, Central Bank of Ireland. Grazie alla direttiva MiFID II la società può servire clienti in Italia dopo una notifica, e la CONSOB la inserisce in un elenco. È il caso della maggior parte dei broker di CFD e di molte piattaforme per azioni ed ETF. Le regole di condotta sono europee e la vigilanza principale resta all'estero.

Offshore. La licenza, quando c'è, viene da un Paese fuori dallo Spazio economico europeo (Seychelles, Belize, Saint Vincent, Vanuatu). Nessuna notifica in Italia. Spesso è la seconda società di un marchio che in Europa ha anche un'entità autorizzata: è lì che si crea l'equivoco.

Clone. Usa nome, logo o numero di licenza di una società vera, ma il sito, i conti di deposito e i contatti sono di qualcun altro. Il registro dà la licenza "giusta", ed è proprio per questo che il clone funziona: chi controlla solo il nome trova una società autorizzata.

Il primo dato da cercare è il nome legale della società che apre il conto. Di solito sta nel footer del sito, nelle condizioni contrattuali o nei documenti informativi: nome, numero di licenza, autorità, indirizzo. Se il sito non lo scrive, o scrive solo un marchio commerciale, la verifica si ferma qui.

Il marchio non basta perché un marchio può coprire più società. Pepperstone, per i clienti europei, è Pepperstone EU Limited, a Cipro, mentre gli ordini, secondo i documenti letti per la nostra recensione di settembre, passano alla capogruppo australiana. Il caso più chiaro è IC Markets.

Il sito icmarkets.com fa capo a Raw Trading Ltd, società delle Seychelles. La CONSOB lo ha oscurato con la delibera n. 21527 del 7 ottobre 2020, escludendo espressamente dall'ordine IC Markets (EU) Ltd. Quest'ultima, autorizzata dalla CySEC, compare oggi nell'elenco CONSOB delle imprese UE con il numero 4907. Stesso logo, due società, due livelli di tutela: le regole europee sui clienti al dettaglio (limiti di leva, protezione dal saldo negativo, fondo di indennizzo) valgono solo sulla prima. La recensione di IC Markets racconta come si riconosce da quale delle due si sta aprendo il conto.

Gli elenchi stanno sul sito della CONSOB, nel percorso Operatori, Intermediari, Imprese di investimento. Ogni pagina ha un campo "Cerca nell'elenco": si scrive il nome della società e si apre la scheda. Durante la lettura del 13 ottobre il sito ha mostrato a volte una verifica anti bot: è normale, non è un segnale sul broker.

Quale elenco guardare dipende dalla situazione:

La scheda di una SIM. Per Directa l'albo riporta la delibera d'iscrizione n. 11761 del 22 dicembre 1998, il codice LEI, la sede di Torino e l'elenco dei servizi autorizzati, ognuno con la sua delibera. Dall'albo si apre anche un PDF con i siti internet comunicati dalle SIM: è il primo filtro contro i domini falsi.

La scheda di un'impresa UE. Per Pepperstone l'elenco delle imprese senza succursale riporta Stato (Cipro), numero 5232 e i servizi esercitabili in Italia: ricezione e trasmissione di ordini, esecuzione, negoziazione per conto proprio, custodia, cambio, ricerca. Manca il dettaglio che conta di più per un cliente: il numero di licenza cipriota e i domini. Quelli stanno nel registro di origine, al passo 3.

Altri numeri letti nello stesso elenco: IC Markets (EU) Ltd 4907, First Prudential Markets Ltd (FP Markets) 5035, Fusion Markets EU Ltd 5578, Interactive Brokers Ireland Limited 5262, eToro (Europe) Limited 2830, XTB Ltd 3569 e XTB S.A. 4067, Plus500CY 4161, AVA Trade EU 2640.

Essere in elenco non vuol dire accettare privati italiani. Exness (CY) Ltd è nell'elenco con il numero 3765 e RoboMarkets Ltd con il 3830. Dalle verifiche fatte il 7 ottobre 2026 per le recensioni di Exness e RoboForex, però, l'entità europea di Exness serve solo clienti istituzionali e RoboMarkets non apre più conti CFD e MetaTrader ai privati UE. Chi arriva dall'Italia sul sito globale finisce su società offshore, che nell'elenco non ci sono. Il nome in elenco dice che la società può lavorare in Italia, non con chi.

Una impresa su quattro dell'elenco viene da Cipro: 230 su 851. È lo Stato da cui passa buona parte dei broker CFD che lavorano con i privati europei.

Le banche. Fineco, Banca Sella e le altre banche si cercano negli albi ed elenchi di vigilanza della Banca d'Italia, che hanno una loro ricerca per denominazione. Per una banca l'autorizzazione a prestare servizi di investimento deriva dalla licenza bancaria, e i depositi in conto hanno la garanzia del Fondo interbancario fino a 100.000 euro. Per una SIM la tutela è un'altra: BG Saxo SIM, per esempio, aderisce al Fondo Nazionale di Garanzia con un tetto di 20.000 euro per investitore. Come funziona una banca che fa anche da broker lo racconta la recensione di Fineco.

Per un'impresa passaportata il controllo decisivo è nel registro dell'autorità che ha rilasciato la licenza. Lì si leggono tre cose che la CONSOB non mostra: numero e data della licenza, Paesi in cui la società può operare, domini internet approvati.

Sul registro CySEC, Pepperstone EU Limited ha la licenza 388/20 del 3 agosto 2020, l'Italia fra i 26 Paesi dei servizi transfrontalieri e un solo dominio approvato: pepperstone.com. Qualsiasi altro sito che usa quel nome non è autorizzato da Cipro, anche se riporta il numero 388/20 giusto. È il dato che smonta i cloni al passo 4.

Il registro ESMA. L'ESMA raccoglie in un unico registro le imprese MiFID autorizzate in tutta l'Unione. Cercando "Pepperstone" escono due righe: Pepperstone EU Limited (CySEC, autorizzata il 3 agosto 2020, attiva) e Pepperstone GmbH (BaFin, 4 agosto 2020, attiva). Il registro conferma la licenza, ma nella scheda il campo "Host member state" è vuoto: non mostra i passaporti verso l'Italia. Serve a capire se una licenza europea esiste, non se vale qui.

FCA e Brexit. Una licenza britannica, da sola, non basta più. Dal 1° gennaio 2021 le società del Regno Unito non hanno il passaporto UE. IG Markets Limited risulta autorizzata dalla FCA dal 1° dicembre 2001 (numero 195355), ma i clienti italiani di IG sono di IG Europe GmbH, società tedesca vigilata dalla BaFin con succursale a Milano. Un sito che a un italiano mostra solo il numero FCA sta dicendo che la società europea non c'è, oppure non è quella.

Gli altri registri usati più spesso: BaFin per la Germania, Central Bank of Ireland, AMF per la Francia, AFM per i Paesi Bassi, MFSA per Malta. Hanno tutti una ricerca per nome; la CySEC mette in chiaro anche i domini approvati.

Il clone vive dello scarto fra nome e dominio. Due voci lette su Trustpilot il 13 ottobre lo mostrano meglio di qualsiasi schema. Sulla pagina di Pepperstone un utente (L. G.) il 4 settembre 2025 raccontava di aver operato quasi due mesi su "PEPPERTONE-CFDS.COM" credendo di essere sul sito vero, e di aver perso 1.000 euro (cifra dichiarata dall'utente, non verificabile). Sulla pagina di XTB un altro utente (F. P. R.), il 22 ottobre 2023, avvertiva della "falsa società xtb-empire.com", con un primo versamento di 250 euro e poi le chiamate di un "consulente". In tutti e due i casi il nome rimanda a un broker autorizzato, il dominio no.

La CONSOB oscura anche questo tipo di siti. Nel 2026, fra gli altri: "IG Group 24" (iggroup24.life, con area clienti su un dominio diverso, my.24igg.to) il 6 marzo, "Darwinex IT" (darwinexitltd.com) il 20 febbraio, "LSEGCapital Limited" il 9 aprile. Il segnale che si ripete è l'area di login su un dominio che non c'entra con quello del marchio.

Tre controlli bastano:

• il dominio del sito è lo stesso indicato dal registro dell'autorità (o dal PDF dei siti delle SIM)?
• l'area clienti e la piattaforma stanno sullo stesso dominio, o su un indirizzo diverso?
• i bonifici vanno a un conto intestato alla società della licenza, o a una persona o un'altra società?

Basta un no per fermarsi. Lo stesso schema si vede con i venditori di software: le promesse di rendimento legate a un conto "gestito" sono il tema della guida su come difendersi dai bot di trading truffa.

L'ultimo controllo è nella sezione "Occhio alle truffe!" del sito CONSOB, alla voce "Ordini di oscuramento di siti abusivi". Ogni comunicato elenca nomi e domini dei siti bloccati e il totale aggiornato.

Il comunicato del 9 ottobre 2026 riguarda quattro siti: Goldgcapital, Tradoxium, FXPepper (fxpepper.eu) e Money-Mentor.io. Il totale sale a 1.838 siti da luglio 2019, di cui 235 legati alle cripto-attività. Nello stesso testo la CONSOB segnala l'aumento di siti "clonati", profili falsi di personaggi noti e contenuti generati con l'intelligenza artificiale.

Il 2025 si è chiuso a 322 siti, il 2026 è già a 316 a inizio ottobre. Nel 2026 la CONSOB ha pubblicato in media più di tre comunicati di oscuramento al mese.

Oscurato non vuol dire per forza truffa. Fra i siti bloccati ci sono anche broker veri con licenze extra europee che hanno offerto servizi in Italia senza notifica, come il sito offshore di IC Markets visto al passo 1. Per chi deposita la conseguenza è simile: nessuna tutela italiana o europea. La differenza fra truffa e broker offshore conta per capire a chi rivolgersi dopo, e lo spiega la pagina su cosa fare in caso di truffa nel trading online.

Per i nomi esteri, oltre alla CONSOB, si consulta il portale IOSCO I-SCAN, che raccoglie gli avvisi delle autorità di tutto il mondo, compresi quelli sui cloni.

Per chi compra cripto-attività su un exchange il percorso è diverso. Il regime transitorio italiano è finito il 30 giugno 2026: da allora serve l'autorizzazione MiCAR come prestatore di servizi per le cripto-attività (CASP). Il 13 ottobre la pagina dei registri OAM non elenca più il registro degli operatori in valute virtuali, quindi un'iscrizione OAM esibita da un sito non dimostra più nulla.

Il controllo si fa sul registro ESMA dei CASP, scaricabile come file CSV. Al 13 ottobre 2026 contiene 370 prestatori autorizzati, 204 dei quali con l'Italia fra i Paesi del passaporto. Nove sono autorizzati dalla CONSOB, fra cui Young Platform (30 giugno 2026), Conio e Banca Sella. Ci sono Coinbase Luxembourg, Bybit EU, OKX Europe, Bitpanda e Kraken con Payward Europe Solutions. Non ci sono né Binance né Bitget. La lista completa con le entità è nella classifica degli exchange per criptovalute.

Il 13 ottobre abbiamo letto 947 recensioni in italiano su Trustpilot di sei broker (Pepperstone, XTB, Plus500, IG, eToro, AvaTrade) più 200 di IC Markets, cercando chi parla di autorizzazioni, cloni e licenze: dieci testi in tutto, il resto riguarda costi, assistenza e conti bloccati. Su YouTube abbiamo letto i 60 commenti più recenti al video di Marco Casario sulle truffe dei broker (circa 13.000 visualizzazioni, ottobre 2020) e i commenti a un video dell'avvocato Daniele Bertaggia sulla "truffa F.C.A.". Le date YouTube sono approssimate al mese, perché la piattaforma le mostra in forma relativa. I nomi Trustpilot, che sono nomi di persone, li riportiamo con le iniziali.

Due di queste voci sbagliano in direzioni opposte, ed è lo scarto più utile della raccolta. S. S. scrive "certificato Consob" per un broker che ha la licenza a Cipro ed è solo notificato in Italia. @lucagatta1869 scarta per principio tutto quello che viene da Cipro, cioè lo stesso schema di 230 imprese dell'elenco CONSOB, fra cui Pepperstone EU, XTB Ltd ed eToro Europe. Il registro non premia né il nome italiano né diffida dell'indirizzo cipriota: dice quale società è autorizzata, da chi e su quale dominio. L'IBAN di Cipro di @MicheleRoccapinnuzza, allo stesso modo, è normale per una società cipriota passaportata; il problema nasce quando il conto è intestato a qualcun altro.

La voce di @fabiof.5207 apre l'ultimo capitolo, quello del "recupero crediti": dopo la prima truffa arrivano finti studi o finte autorità che promettono di recuperare i soldi in cambio di un anticipo. Si controllano con gli stessi registri: anche chi promette un recupero deve risultare da qualche parte.