De nieuwe regels van Mastercard inzake frauduleuze handelaren: wat elke e-commerce- en SaaS vóór juli 2026 moet weten

Het Scam Merchant Monitoring Program (SMMP) van Mastercard treedt op 24 juli 2026 volledig in werking. Hiermee worden acquirers verplicht om binnen 72 uur onderzoek te doen naar elke handelaar die als verdacht van frauduleuze activiteiten is gemarkeerd. Als uit het onderzoek blijkt dat er sprake is van frauduleuze activiteiten, worden de verwerkingen via Mastercard en Maestro onmiddellijk stopgezet: geen boetes, geen respijtperiode.

Mastercard vertrouwt al jaren op programma’s voor het beheer van de chargeback-ratio, zoals ECM en EFM, om het risico van handelaren te beheersen. Die programma’s leggen je een boete op als je cijfers boven een drempelwaarde uitkomen, geven je de tijd om de situatie recht te zetten en escaleren de zaak als je dat niet doet. Het is geen prettige situatie, maar je kunt er wel mee leven.

Het Scam Merchant Monitoring Program (SMMP) werkt anders. Het gaat niet om drempels die je geleidelijk overschrijdt. Het gaat om signalen die op frauduleuze activiteiten lijken, en zodra die signalen zich voordoen, zijn de gevolgen onmiddellijk. Acquirers hebben 72 uur de tijd om een onderzoek in te stellen, en als zij frauduleuze activiteiten bevestigen, wordt de verwerking van Mastercard- en Maestro-transacties onmiddellijk stopgezet. Geen waarschuwingen, geen termijn om de situatie recht te zetten. Je mogelijkheid om kaarten te accepteren is dan gewoonweg verdwenen.

Het volledige programma treedt op 24 juli 2026 in werking, maar de aanmeldingsvereisten voor nieuwe handelaren gelden al sinds januari 2026. Als u actief bent in e-commerce, SaaS of abonnementen, heeft dit meer gevolgen voor u dan u wellicht denkt.

Sinds januari 2026 zijn acquirers bovendien verplicht om de website van elke nieuwe handelaar te scannen voordat ze diens eerste transactie verwerken. Als een monitoringdienst tijdens die scan iets signaleert, heeft de acquirer 15 dagen de tijd om dit te onderzoeken en te verhelpen. Dit is een afzonderlijke verplichting, los van de SMMP-termijn van 72 uur, en het betekent dat nieuwe handelaren onder de loep worden genomen nog voordat ze ook maar één betaling hebben verwerkt.

Dit is geen ECM. De gevolgen zijn anders.

De meeste handelaren zijn bekend met de bestaande controleprogramma’s van Mastercard. ECM (Excessive Chargeback Merchant) en EFM (Excessive Fraud Merchant) werken op basis van ratio’s. Als je wordt gesignaleerd, krijg je een boete en krijg je de tijd om verbeteringen door te voeren. SMMP werkt volgens een geheel andere logica.

Dit is hoe ze zich tot elkaar verhouden:

Het belangrijkste verschil is dat SMMP acquirers een kortere beslissingstermijn oplegt. Een handelaar kan volkomen in orde zijn volgens de ECM-regels, met geschilpercentages binnen aanvaardbare grenzen, en toch onder SMMP worden gesignaleerd als het activiteitspatroon lijkt op een frauduleuze operatie. Deze programma’s lopen parallel, niet achter elkaar. Zie de analyse van cside voor een gedetailleerde vergelijking van de verschillen tussen SMMP, ECM en EFM.

Dit is niet alleen een verhaal over Mastercard. Visa nam het voortouw met VAMP (Visa Acquirer Monitoring Program), waarmee de verantwoordelijkheid voor de afhandeling van fraude en geschillen binnen de hele handelaarsportefeuille werd verschoven naar de acquirers. Het SMMP van Mastercard maakt het plaatje binnen hun netwerk compleet. Samen vormen ze een gecoördineerde verschuiving binnen beide kaartnetwerken: één bewijsstandaard, één verwachting, twee deadlines. Als u uw geschillenbeheer afstemt op VAMP en ECM, hoort SMMP ook in datzelfde kader thuis. 

Wat is nu eigenlijk de aanleiding voor een onderzoek?

Er zijn vier categorieën van triggergebeurtenissen waarop acquirers moeten reageren:

Een plotselinge daling van het goedkeuringspercentage. Als uw goedkeuringspercentage binnen een periode van 72 uur met 50 of meer procentpunten daalt, of onder de 30% zakt terwijl u ten minste 25 transacties verwerkt, leidt dat tot een onderzoek. Een slechte campagne, een probleem met de routering of een agressieve strategie voor herhalingspogingen kunnen allemaal tot dit patroon leiden. Het hoeft niet per se op fraude te duiden, maar vanuit het perspectief van Mastercard lijkt het wel op fraude.

Een GRIP-brief van Mastercard. Een kennisgeving in het kader van het Global Rules Investigation Program betekent dat Mastercard uw rekening op netwerkniveau al heeft gemarkeerd vanwege vermoedelijke frauduleuze activiteiten. Tegen de tijd dat uw acquirer zo’n brief ontvangt, is de klok al aan het tikken.

Nieuwe signalen van oplichting door handelaren. Dit is de vorm die legitieme bedrijven het hardst treft. Als u minder dan zes maanden aan verwerkingsgeschiedenis bij Mastercard hebt, valt u onder een verscherpt toezicht. Twee verschillende kaartuitgevers die rapporten van fraudetype 56 tegen u indienen, terugvorderingen van meerdere kaartuitgevers met documentatie waarin sprake is van oplichting of manipulatie, of een gecombineerd percentage van terugbetalingen en terugvorderingen van meer dan 5% in een willekeurige voortschrijdende periode van 30 dagen kunnen allemaal aanleiding geven tot een onderzoek. Fraudetype 56 is de classificatie van Mastercard voor misbruik door de kaarthouder zelf, beter bekend als ‘friendly fraud’, waarbij de kaarthouder de aankoop weliswaar heeft gedaan, maar deze toch betwist. Als twee kaartuitgevers dit tegen dezelfde handelaar indienen, is dat een sterk signaal dat er sprake is van een patroon, en niet van een eenmalig incident. 

Een melding van een Merchant Monitoring Service Provider (MMSP). Mastercard werkt samen met erkende externe dienstverleners die het gedragspatroon van handelaren analyseren. Een melding van een van deze dienstverleners kan ertoe leiden dat er een onderzoek naar u wordt ingesteld. In het overzicht van Austreme over de MMP-updates van juni 2025 wordt beschreven hoe de MMSP-vereisten zich hebben ontwikkeld.

Waarom SaaS abonnementen en SaaS extra kwetsbaar zijn

De gecombineerde drempel van 5% is gloednieuw. Het maakt niet uit of je chargeback-percentage volgens de ECM-regels in orde is. Wat telt, is of de som van je terugbetalingen en terugvorderingen in een willekeurige periode van 30 dagen met meer dan 500 transacties hoger is dan 5%. Voor aanbieders van abonnementen, SaaS en nieuwe CNP-bedrijven liggen de terugbetalingspercentages van nature hoger. Opzeggingen van proefabonnementen, vergeten verlengingen, onduidelijkheden in de factureringsomschrijving en escalaties bij de klantenservice zorgen er allemaal voor dat dit cijfer al stijgt nog voordat er ook maar één geschil is ingediend.

Als terugbetalingen en geschillen bij elkaar worden opgeteld, wordt vroegtijdige preventie nog belangrijker dan het terugvorderen van bedragen. Dat is een belangrijke verschuiving in de manier waarop handelaren hun geschillenstrategie in het kader van het SMMP moeten benaderen.

Nieuwe handelaren vallen in de categorie met het hoogste risico. Oplichters melden zich vaak aan, verwerken betalingen snel, stapelen geschillen op en verdwijnen vervolgens. Mastercard kent dit patroon; daarom gelden de strengste regels voor handelaren met minder dan zes maanden verwerkingsgeschiedenis. Een legitiem nieuw abonnements- of SaaS wordt aan dezelfde grondige controle onderworpen.

Gezien de onderzoeksperiode van 72 uur moeten acquirers snel over duidelijk bewijsmateriaal beschikken. Als er een onderzoek wordt gestart, zal uw acquirer transactiegegevens, terugbetalingsgedrag, documentatie over chargebacks, website-inhoud en factuurbeschrijvingen opvragen. De handelaren die snel worden vrijgesproken, zijn degenen die al over geordend en volledig bewijsmateriaal beschikken nog voordat er überhaupt vragen worden gesteld.

Wat winkeliers vóór 24 juli moeten doen

Houd terugbetalingen en terugboekingen samen bij, niet afzonderlijk. Bij de meeste systemen voor het monitoren van geschillen worden deze als afzonderlijke statistieken behandeld. Binnen het SMMP worden ze samengevoegd. Begin nu met het berekenen van uw gecombineerde percentage over een voortschrijdende periode van 30 dagen en stel een interne waarschuwingsdrempel in die ruim onder de 5% ligt, zodat u voldoende reactietijd hebt.

Geef bij categorieën met hoge terugbetalingen voorrang aan preventie boven terugvordering. Chargeflow Alerts voorkomt geschillen nog voordat ze worden ingediend, waardoor het totale percentage laag blijft. Chargeflow Prevent gaat nog een stap verder door ‘friendly fraud’ bij de bron te stoppen. Voor nieuwe handelaren of iedereen die de drempel van 5% nadert, is preventie op dit moment waardevoller dan terugvordering.

Controleer uw factureringsomschrijvingen. Verwarring over de omschrijvingen is een van de meest voorkomende redenen waarom klanten hun kaartuitgever bellen in plaats van uw klantenservice. Wanneer ze hun kaartuitgever bellen, wordt de bewoording die zij gebruiken om de afschrijving te beschrijven vaak opgenomen in het geschilverslag, en volgens het SMMP-protocol is die bewoording van belang. „Onverwachte afschrijving” en „herken ik niet” zijn heel wat anders dan „oplichting” en „manipulatie”, maar beide kunnen uiteindelijk leiden tot een terugvordering.

Breng je acquirer op de hoogte van je bedrijfsmodel. Als je nog niet bekend bent met Mastercard-verwerking, of als je actief bent in een sector met van nature hoge terugbetalingspercentages, ben je veel beter af als je je acquirer proactief achtergrondinformatie geeft voordat er een alarm afgaat, dan wanneer je jezelf binnen een termijn van 72 uur moet moeten verantwoorden. Ze kunnen niet verdedigen wat ze niet begrijpen.

Zorg dat uw documentatie op orde is. Chargeflow stelt gedetailleerde bewijspakketten samen voor geschillen. Diezelfde documentatie heeft uw acquirer nodig tijdens een SMMP-onderzoek. Volledige overzichten van annuleringslogboeken, leveringsbevestigingen, aanvaarding van de servicevoorwaarden en contacten met de klantenservice zijn niet langer alleen bedoeld om geschillen te winnen, maar vormen ook uw verdediging tegen beëindiging van de verwerkingsovereenkomst.

Het bredere perspectief

Mastercard verschuift de verantwoordelijkheid naar een hoger niveau. Acquirers en betalingsfacilitators hebben nu de formele plicht om snel te reageren op signalen van fraude, wat betekent dat ze alle reden hebben om risicovolle handelaren uit te sluiten nog voordat er een onderzoek op hun bureau belandt. Voor PayFac- en platformhandelaren is dit bijzonder belangrijk: de SMMP-verplichtingen worden doorgegeven aan subhandelaren. Als een subhandelaar op uw platform aanleiding geeft tot een onderzoek, is uw acquirer aansprakelijk, en dus ook u. Platformbeheerders die Stripe Connect, marktplaatsmodellen of een andere geïntegreerde betalingsstructuur gebruiken, hebben nu een directe reden om de stand van zaken op het gebied van geschillen en terugbetalingen in hun gehele portfolio te monitoren, en niet alleen op platformniveau. Cartis Payments heeft een scherpe analyse gemaakt van wat deze verschuiving in de aansprakelijkheid van acquirers daadwerkelijk betekent.

De handelaren die er goed vanaf komen, zijn degenen die al een nette indruk maken nog voordat iemand ernaar vraagt. Lage gecombineerde percentages voor terugbetalingen en chargebacks, duidelijke omschrijvingen op de afschriften, goed geordende bewijsstukken en een bedrijfsmodel dat hun acquirer begrijpt.

De handelaren die het moeilijk zullen krijgen, zijn degenen die geschillenbeheer tot nu toe als bijzaak hebben beschouwd, in de veronderstelling dat hun chargeback-percentage op zich al het volledige beeld weergeeft. Onder het SMMP is dat echter niet het geval.

Betalers zullen niet wachten op een onderzoek om een verdacht ogende handelaar uit hun systeem te verwijderen. Zorg er liever voor dat je de handelaar bent die niemand hoeft te onderzoeken. 

Ontdek hoe Chargeflow ervoor zorgt dat je automatisch onder de drempel van 5% blijft. →

Veelgestelde vragen

Wat is het Scam Merchant Monitoring Program (SMMP) van Mastercard? SMMP is een handhavingsprogramma van Mastercard dat acquirers verplicht om elke handelaar die in verband wordt gebracht met frauduleuze activiteiten binnen 72 uur te onderzoeken. Als uit het onderzoek blijkt dat er sprake is van frauduleuze activiteiten, wordt de verwerking van Mastercard- en Maestro-transacties voor die handelaar onmiddellijk stopgezet. Het programma treedt op 24 juli 2026 volledig in werking.

Waarin verschilt het SMMP-programma van het ECM-programma van Mastercard? ECM en EFM zijn op ratio’s gebaseerde programma’s die leiden tot boetes en waarbij handelaren de tijd krijgen om de situatie te verhelpen. Het SMMP is een op onderzoek gebaseerd programma dat in gang wordt gezet door signalen van fraude. Het gevolg van een bevestigd onderzoek is onmiddellijke beëindiging van de verwerking, niet een boete.

Wat houdt de drempel van 5% in het kader van het SMMP in? Voor handelaren met minder dan zes maanden verwerkingsgeschiedenis bij Mastercard en ten minste 500 transacties in een periode van 30 dagen kan een gecombineerd percentage van terugbetalingen en chargebacks van meer dan 5% aanleiding geven tot een SMMP-onderzoek. Dit staat los van de ECM-drempels en houdt rekening met zowel terugbetalingen als betwistingen.

Welke handelaren lopen het grootste risico? Nieuwe handelaren die betalingen zonder fysieke kaart verwerken en nog geen zes maanden bij Mastercard zijn aangesloten, worden het strengst gecontroleerd. Ook handelaren op het gebied van abonnementen, SaaS, iGaming, reizen en digitale goederen lopen een verhoogd risico, omdat hun bedrijfsmodellen van nature leiden tot hogere percentages terugbetalingen en geschillen.

Hoe helpt Chargeflow bij het naleven van de SMMP-voorschriften? Chargeflow Alerts voorkomt geschillen nog voordat ze worden ingediend, waardoor het gecombineerde percentage van terugbetalingen en chargebacks laag blijft. Chargeflow Prevent pakt vriendelijke fraude bij de bron aan. De geautomatiseerde bewijsdocumentatie van Chargeflow biedt handelaren en hun acquirers bovendien de overzichtelijke, goed geordende gegevens die nodig zijn om snel te kunnen reageren als er een onderzoek wordt gestart.

Aanvullende literatuur

G2 Risk Solutions: Mastercard MMP-vereisten 2026, operationele richtlijnen over wat acquirers en handelaren moeten hebben geregeld.

LegitScript: De komende zes maanden zullen het risicobeheer voor handelaren een nieuwe invulling krijgen, bredere context over hoe SMMP past in de bredere verschuiving in risiconormen voor handelaren in de aanloop naar eind 2026.