Mastercard's New Scam Merchant Rules: What Every eCommerce and SaaS Merchant Needs to Know Before July 2026

Mastercard’s Scam Merchant Monitoring Program (SMMP) takes full effect July 24, 2026, requiring acquirers to investigate any merchant flagged for scam activity within 72 hours. If the investigation confirms scam activity, Mastercard and Maestro processing is terminated immediately: no fines, no grace period.

A Mastercard vem há anos contando com programas de índice de estornos, como o ECM e o EFM, para gerenciar o risco dos comerciantes. Esses programas aplicam multas quando os índices ultrapassam um limite, concedem um prazo para que você corrija a situação e escalam o nível de ação caso você não o faça. São medidas incômodas, mas suportáveis.

O Programa de Monitoramento de Comerciantes Suspeitos de Fraude (SMMP) funciona de maneira diferente. Não se trata de limites que você ultrapassa gradualmente. Trata-se de sinais que indicam atividade fraudulenta e, quando esses sinais aparecem, as consequências são imediatas. As operadoras têm 72 horas para investigar e, se confirmarem a atividade fraudulenta, o processamento de transações Mastercard e Maestro é interrompido imediatamente. Sem avisos, sem prazo para correção. Sua capacidade de aceitar cartões simplesmente desaparece.

The full program takes effect July 24, 2026, but the onboarding requirements for new merchants have been active since January 2026. If you're a merchant in eCommerce, SaaS, or subscriptions, this affects you more than you might think.

Desde janeiro de 2026, os adquirentes também são obrigados a analisar o site de cada novo comerciante antes de processar sua primeira transação. Se um provedor de monitoramento sinalizar algum problema durante essa análise, o adquirente tem 15 dias para investigar e corrigir a situação. Essa é uma obrigação distinta do prazo de 72 horas do SMMP, o que significa que os novos comerciantes estão sob escrutínio antes mesmo de processarem um único pagamento.

Isso não é ECM. As consequências são diferentes.

A maioria dos comerciantes está familiarizada com os programas de monitoramento existentes da Mastercard. O ECM (Excessive Chargeback Merchant) e o EFM (Excessive Fraud Merchant) funcionam com base em índices. Se você for sinalizado, receberá uma multa e terá um prazo para melhorar. O SMMP opera com uma lógica completamente diferente.

Veja como eles se comparam:

A principal diferença é que o SMMP impõe aos adquirentes um prazo de decisão mais curto. Um comerciante pode estar em perfeita conformidade com as regras do ECM, com índices de contestação dentro de limites aceitáveis, e ainda assim ser sinalizado pelo SMMP se o padrão de atividade parecer indicar uma operação fraudulenta. Esses programas funcionam em paralelo, não em sequência. Para uma comparação detalhada de como o SMMP difere do ECM e do EFM, consulte a análise da cside.

Esta não é apenas uma história da Mastercard. A Visa deu o primeiro passo com o VAMP (Visa Acquirer Monitoring Program), que transferiu a responsabilidade para os adquirentes quanto ao desempenho em casos de fraude e contestação em suas carteiras de comerciantes. O SMMP da Mastercard completa o quadro em sua rede. Juntos, eles representam uma mudança coordenada em ambas as redes de cartões: um padrão de evidência, uma expectativa, dois prazos. Se você está orientando sua gestão de contestações com base no VAMP e no ECM, o SMMP deve fazer parte dessa mesma discussão. 

O que realmente desencadeia uma investigação

Existem quatro categorias de gatilhos em relação às quais as adquirentes são obrigadas a agir:

Uma queda repentina nas taxas de autorização. Se a sua taxa de aprovação cair 50 pontos percentuais ou mais em um intervalo de 72 horas, ou ficar abaixo de 30% enquanto você estiver processando pelo menos 25 transações, isso aciona uma revisão. Uma campanha mal elaborada, um problema de roteamento ou uma estratégia agressiva de repetição de tentativas podem causar esse padrão. Isso não significa necessariamente que haja fraude, mas, do ponto de vista da Mastercard, parece ser uma fraude.

Uma notificação GRIP da Mastercard. Uma notificação do Programa Global de Investigação de Regras (GRIP) significa que a Mastercard já sinalizou sua conta por suspeita de atividade fraudulenta no nível da rede. Quando o seu adquirente recebe uma dessas notificações, o tempo já está correndo.

New merchant scam signals. This is the one that hits legitimate businesses hardest. If you have less than six months of Mastercard processing history, you're in a heightened monitoring window. Two different issuers filing fraud type 56 reports against you, chargebacks from multiple issuers with documentation mentioning scams or manipulation, or a combined refund and chargeback rate above 5% in any rolling 30-day period can all trigger an investigation. Fraud type 56 is Mastercard's classification for first-party misuse, more commonly known as friendly fraud, where the cardholder made the purchase but disputes it anyway. Two issuers filing this against the same merchant is a strong signal of a pattern, not a one-off. 

Um alerta de um Provedor de Serviços de Monitoramento de Comerciantes (MMSP). A Mastercard trabalha com provedores terceirizados aprovados que analisam os padrões de comportamento dos comerciantes. Um alerta de um desses provedores pode levar à abertura de uma investigação. O resumo da Austreme sobre as atualizações do MMP de junho de 2025 aborda a evolução dos requisitos dos MMSP.

Why Subscription and SaaS Merchants Are Particularly Exposed

The 5% combined threshold is brand new. It doesn't matter if your chargeback ratio is fine under ECM rules. What matters is whether your refunds plus chargebacks, combined, exceed 5% in any 30-day window with 500+ transactions. For subscription merchants, SaaS companies, and new CNP businesses, refund rates are naturally higher. Trial cancellations, forgotten renewals, billing descriptor confusion, and customer service escalations all push this number up before a single dispute is filed.

Se somarmos os reembolsos e as contestações, a prevenção antecipada torna-se ainda mais importante do que a recuperação. Essa é uma mudança significativa na forma como os comerciantes devem encarar sua estratégia de contestação no âmbito do SMMP.

New merchants are in the highest-risk category. Scam operations often onboard, process quickly, accumulate disputes, and disappear. Mastercard knows this pattern, which is why the rules are strictest for merchants under six months of processing history. A legitimate new subscription or SaaS business goes through the same scrutiny.

O prazo de 72 horas para a investigação significa que as operadoras de cartão precisam de provas claras rapidamente. Se for aberta uma investigação, sua operadora irá analisar registros de transações, histórico de reembolsos, documentação de estornos, conteúdo do site e descrições de cobrança. Os comerciantes que são inocentados rapidamente são aqueles que já têm provas organizadas e completas à disposição antes mesmo de qualquer pergunta ser feita.

O que os comerciantes devem fazer antes de 24 de julho

Acompanhe os reembolsos e os estornos em conjunto, e não separadamente. A maioria dos sistemas de monitoramento de disputas trata esses indicadores como métricas distintas. No SMMP, eles são combinados. Comece já a calcular sua taxa combinada móvel de 30 dias e defina um alerta interno bem abaixo de 5% para ter tempo de reação.

Priorize a prevenção em detrimento da recuperação para categorias com alto índice de estornos. O Chargeflow Alerts evita contestações antes mesmo que elas sejam apresentadas, o que mantém a taxa combinada baixa. O Chargeflow Prevent vai além, impedindo a fraude amigável na origem. Para novos comerciantes ou qualquer pessoa que esteja se aproximando do limite de 5%, a prevenção é mais valiosa do que a recuperação neste momento.

Revise suas descrições de cobrança. A confusão nas descrições é um dos motivos mais comuns pelos quais os clientes ligam para a operadora do cartão em vez de para sua equipe de suporte. Quando ligam para a operadora, a forma como se referem à cobrança costuma fazer parte do registro da contestação e, no âmbito do SMMP, essa formulação é importante. Expressões como “cobrança inesperada” e “não reconheço esta cobrança” são muito diferentes de “golpe” e “manipulação”, mas ambas podem resultar em um estorno.

Explique seu modelo de negócios ao seu adquirente. Se você é novo no processamento de transações Mastercard ou se atua em um setor com taxas de reembolso naturalmente elevadas, fornecer proativamente o contexto ao seu adquirente antes que um gatilho seja acionado coloca você em uma posição muito melhor do que ter que se explicar durante um prazo de 72 horas. Eles não podem defender o que não compreendem.

Organize sua documentação. A Chargeflow elabora pacotes detalhados de provas para contestação de disputas. Essa mesma documentação é o que sua adquirente precisa durante uma investigação do SMMP. Registros completos de cancelamentos, confirmações de entrega, aceitação dos Termos de Serviço e interações com o suporte não servem mais apenas para vencer disputas; eles são sua defesa contra o cancelamento do contrato de processamento.

O panorama geral

A Mastercard está transferindo a responsabilidade para os níveis anteriores da cadeia. Os adquirentes e facilitadores de pagamentos agora têm a obrigação formal de agir rapidamente diante de sinais de fraude, o que significa que têm todo o incentivo para excluir comerciantes que pareçam arriscados antes mesmo que uma investigação chegue à sua mesa. Para os comerciantes de plataformas e facilitadores de pagamentos, isso é particularmente importante: as obrigações do SMMP se estendem aos subcomerciantes. Se um subcomerciante em sua plataforma desencadear uma investigação, seu adquirente será responsabilizado, o que significa que você também será. Operadores de plataforma que utilizam o Stripe Connect, modelos de marketplace ou qualquer estrutura de pagamento integrada agora têm um motivo direto para monitorar a saúde das disputas e reembolsos em todo o seu portfólio, não apenas no nível da plataforma. A Cartis Payments apresenta uma análise perspicaz do que essa mudança na responsabilidade do adquirente realmente significa.

Os comerciantes que sairão bem são aqueles que já parecem estar em ordem antes mesmo de alguém perguntar. Taxas combinadas baixas de reembolso e estorno, descrições claras nas faturas, documentação organizada e um modelo de negócios que a operadora de cartão compreenda.

Os comerciantes que enfrentarão dificuldades são aqueles que têm tratado a gestão de disputas como algo secundário, partindo do princípio de que apenas a taxa de estornos reflete a situação completa. No âmbito do SMMP, isso não é verdade.

Acquirers won't wait for an investigation to offboard a risky-looking merchant. Rather be the merchant no one needs to investigate. 

Veja como o Chargeflow mantém você abaixo do limite de 5%, automaticamente. →

Perguntas frequentes

O que é o Programa de Monitoramento de Comerciantes Suspeitos de Fraude (SMMP) da Mastercard? O SMMP é um programa de fiscalização da Mastercard que exige que as operadoras de cartão investiguem, no prazo de 72 horas, qualquer comerciante sinalizado por atividades fraudulentas. Se a investigação confirmar a atividade fraudulenta, o processamento de transações com cartões Mastercard e Maestro do comerciante será suspenso imediatamente. O programa entrará em vigor a partir de 24 de julho de 2026.

Em que o SMMP difere do programa ECM da Mastercard? O ECM e o EFM são programas baseados em índices que resultam em multas e concedem aos comerciantes um prazo para corrigir as irregularidades. O SMMP é um programa baseado em investigações, acionado por sinais de fraude. A consequência de uma investigação confirmada é a suspensão imediata do processamento, e não uma multa.

O que é o limite de 5% no âmbito do SMMP? Para comerciantes com menos de seis meses de histórico de processamento Mastercard e pelo menos 500 transações em um período de 30 dias, uma taxa combinada de reembolsos e estornos superior a 5% pode desencadear uma investigação do SMMP. Esse limite é distinto dos limites do ECM e contabiliza reembolsos e disputas em conjunto.

Which merchants are most at risk? New card-not-present merchants under six months of Mastercard history face the strictest scrutiny. Subscription, SaaS, iGaming, travel, and digital goods merchants also carry elevated exposure because their business models naturally produce higher refund and dispute rates.

Como o Chargeflow ajuda na conformidade com o SMMP? O Chargeflow Alerts evita disputas antes que elas sejam registradas, mantendo baixa a taxa combinada de reembolsos e estornos. O Chargeflow Prevent impede a fraude amigável na origem. A documentação automatizada de evidências do Chargeflow também oferece aos comerciantes e suas adquirentes os registros claros e organizados necessários para responder rapidamente caso seja aberta uma investigação.

Leitura complementar

G2 Risk Solutions: Requisitos do MMP da Mastercard para 2026, orientações operacionais sobre o que os adquirentes e os comerciantes precisam ter em vigor.

LegitScript: Os próximos seis meses redefinirão a gestão de risco de comerciantes, um contexto mais amplo sobre como o SMMP se encaixa na mudança mais ampla nos padrões de risco para comerciantes até o final de 2026.