Nuevas normas de Mastercard sobre comerciantes fraudulentos: lo que todo SaaS eCommerce SaaS debe saber antes de julio de 2026

Mastercard's Scam Merchant Monitoring Program (SMMP) is the standard requiring acquirers in every Mastercard market except Jordan to investigate any merchant flagged for scam activity within 72 hours. SMMP has been live since July 24, 2026: a confirmed investigation means immediate termination of Mastercard and Maestro processing, with no fine and no grace period.

Mastercard lleva años recurriendo a programas basados en ratios de devoluciones, como ECM y EFM, para gestionar el riesgo de los comerciantes. Estos programas te imponen una multa cuando tus cifras superan un umbral, te dan tiempo para solucionar el problema y elevan el asunto a un nivel superior si no lo haces. Son incómodos, pero se pueden soportar. Además de estos programas basados en ratios, Mastercard también cuenta con el programa de auditoría Mastercard GMAP, que revisa directamente los controles de riesgo de los comerciantes.

El Programa de Supervisión de Comerciantes Fraudulentos (SMMP) funciona de forma diferente. No se trata de umbrales que se superan gradualmente, sino de señales que indican una posible actividad fraudulenta y, cuando aparecen esas señales, las consecuencias son inmediatas. Los adquirentes disponen de 72 horas para investigar y, si confirman la actividad fraudulenta, el procesamiento de Mastercard y Maestro se detiene de inmediato. Sin advertencias, sin plazo para subsanar la situación. La posibilidad de aceptar tarjetas desaparece por completo.

SMMP has now been in active enforcement for over a month, and the onboarding requirements for new merchants have applied since January 2026. According to Equifax's 2026 analysis of Mastercard's revised standards, the rules apply in every market Mastercard operates in except Jordan. If you sell eCommerce, SaaS, or subscriptions, this affects you more than you might think. If you need a primer first, start with what is a chargeback before working through the SMMP specifics below.

Desde enero de 2026, los adquirentes también están obligados a analizar el sitio web de cada nuevo comerciante antes de procesar su primera transacción. Si un proveedor de servicios de supervisión detecta algún problema durante ese análisis, el adquirente dispone de 15 días para investigarlo y subsanarlo. Se trata de una obligación independiente del plazo de 72 horas del SMMP, lo que significa que los nuevos comerciantes están sometidos a un escrutinio antes incluso de procesar un solo pago.

Esto no es ECM. Las consecuencias son diferentes.

La mayoría de los comerciantes están familiarizados con los programas de supervisión actuales de Mastercard. Los programas ECM (Excessive Chargeback Merchant) y EFM (Excessive Fraud Merchant) se basan en ratios. Si te marcan, te multan y te dan un plazo para mejorar. El SMMP funciona con una lógica completamente diferente.

A continuación te mostramos una comparación entre ambos:

ECM y EFM te dan tiempo para solucionar los problemas. SMMP no.

La diferencia clave es que el SMMP ofrece a los adquirentes un plazo de decisión más reducido. Un comerciante puede cumplir a la perfección las normas del ECM, con índices de disputas dentro de los límites aceptables, y aun así ser señalado por el SMMP si el patrón de actividad parece indicar una operación fraudulenta. Estos programas se ejecutan en paralelo, no de forma secuencial. Para obtener una comparación detallada de en qué se diferencia el SMMP del ECM y del EFM, consulta el análisis de cside.

This isn't just a Mastercard story. Visa moved first with VAMP (Visa Acquirer Monitoring Program), which shifted accountability to acquirers for fraud and dispute performance across their merchant portfolios. Mastercard's SMMP completes the picture on their network. Together, they represent a coordinated shift across both card networks: one evidence standard, one expectation, two deadlines. For the fee and timeline side of Visa's own rules, see our Visa chargeback dispute rules guide. If you're positioning your dispute management around VAMP and ECM, SMMP belongs in that same conversation.

¿Qué es lo que realmente da lugar a una investigación?

Hay cuatro categorías de factores desencadenantes ante los que las entidades adquirentes están obligadas a actuar:

Una caída repentina de las tasas de autorización. Si tu tasa de aprobación desciende en 50 puntos porcentuales o más en un plazo de 72 horas, o cae por debajo del 30 % mientras estás procesando al menos 25 transacciones, se activa una revisión. Una campaña deficiente, un problema de enrutamiento o una estrategia de reintentos agresiva pueden provocar este patrón. No tiene por qué significar que se trate de un fraude, pero desde el punto de vista de Mastercard parece un fraude.

Una carta GRIP de Mastercard. Una notificación del Programa Global de Investigación de Normas (GRIP) significa que Mastercard ya ha marcado tu cuenta por sospecha de actividad fraudulenta a nivel de red. Para cuando tu adquirente reciba una de estas notificaciones, el reloj ya habrá empezado a correr.

New merchant scam signals. This is the one that hits legitimate businesses hardest. If you have less than six months of Mastercard processing history, you're in a heightened monitoring window. Two different issuers filing fraud type 56 reports against you, chargebacks from multiple issuers with documentation mentioning scams or manipulation, or a combined refund and chargeback rate above 5% in any rolling 30-day period can all trigger an investigation. Fraud type 56 is one of several Mastercard chargeback reason codes, and it classifies first-party misuse, more commonly known as friendly fraud, where the cardholder made the purchase but disputes it anyway. Two issuers filing this against the same merchant is a strong signal of a pattern, not a one-off. 

Una alerta de un proveedor de servicios de supervisión de comerciantes (MMSP). Mastercard colabora con proveedores externos autorizados que analizan los patrones de comportamiento de los comerciantes. Una alerta de uno de estos proveedores puede hacer que te veas involucrado en una investigación. El resumen de Austreme sobre las actualizaciones del MMP de junio de 2025 explica cómo han evolucionado los requisitos de los MMSP.

Mastercard's Newest Layer: Merchant Trust Services and MSRI

Mastercard has added a second track on top of SMMP. Under a strategy it calls Merchant Trust Services, Mastercard combines onboarding screening with ongoing monitoring for acquirers and payment facilitators, and it introduced the Merchant Scam & Risk Indicator (MSRI), a new authorization-point signal that flags risky merchants directly to issuers rather than waiting for an acquirer-side investigation. According to Mastercard's own 2026 announcement, pilot data shows MSRI catching roughly 80% of risky merchants, in many cases up to 90 days before an issuer would otherwise escalate a pattern. MSRI is rolling out first in Europe and the US before expanding globally.

This does not replace the 72-hour SMMP investigation window described above. SMMP still governs how acquirers respond once scam activity is suspected. MSRI adds an earlier tripwire on the issuer side, which means merchants can now be flagged before an acquirer-led SMMP investigation ever starts. For subscription and SaaS merchants already tracking their combined refund and chargeback rate, this is another reason to keep that number clean well before it approaches 5%.

Por qué SaaS de servicios de suscripción y SaaS están especialmente expuestos

El umbral combinado del 5 % es totalmente nuevo. No importa si tu índice de devoluciones cumple con las normas del ECM. Lo que importa es si la suma de tus reembolsos y Contracargos supera el 5 % en cualquier periodo de 30 días con más de 500 transacciones. En el caso de los comerciantes con modelos de suscripción, SaaS y los nuevos negocios CNP, las tasas de reembolso son, por naturaleza, más elevadas. Las cancelaciones de periodos de prueba, las renovaciones olvidadas, la confusión con los descriptores de facturación y las escaladas al servicio de atención al cliente hacen que esta cifra aumente incluso antes de que se presente una sola reclamación.

Si disputas suman los reembolsos y disputas , la prevención temprana cobra aún más importancia que la recuperación. Se trata de un cambio significativo en la forma en que los comerciantes deben plantearse su estrategia de gestión de disputas en el marco del SMMP.

Los nuevos comerciantes se encuentran en la categoría de mayor riesgo. Las operaciones fraudulentas suelen registrarse, procesarse rápidamente, acumular disputas y desaparecer. Mastercard conoce este patrón, por lo que las normas son más estrictas para los comerciantes con menos de seis meses de historial de procesamiento. Una nueva SaaS legítima de suscripción o SaaS se somete al mismo escrutinio.

The 72-hour investigation window means acquirers need clean evidence fast. If an investigation opens, your acquirer will be pulling transaction records, refund behavior, chargeback documentation, website content, and billing descriptors. The merchants who get cleared quickly are the ones who have organized, complete evidence ready before the question is ever asked. A broader ecommerce fraud prevention strategy, not just an SMMP checklist, is what keeps you out of this position in the first place.

What Merchants Should Do Now That SMMP Is Live

Realiza un seguimiento Contracargos los reembolsos y Contracargos , no por separado. La mayoría de los sistemas de seguimiento de disputas tratan estos datos como métricas independientes. En el marco del SMMP, se combinan. Empieza ya a calcular tu tasa combinada móvil de 30 días y configura una alerta interna muy por debajo del 5 % para disponer de tiempo de reacción.

Prioritize prevention over recovery for high-refund categories. Chargeflow Alerts deflects disputes before they file, which keeps the combined rate down. See how chargeback prevention alerts work if you haven't set these up yet. Chargeflow Prevent goes further by stopping friendly fraud at the source. For new merchants or anyone approaching the 5% threshold, prevention is more valuable than recovery right now.

Revisa tus descripciones de facturación. La confusión en las descripciones es una de las razones más comunes por las que los clientes llaman a su entidad emisora en lugar de a tu equipo de atención al cliente. Cuando llaman a su entidad emisora, la forma en que se refieren al cargo suele quedar reflejada en el expediente de la reclamación y, según el SMMP, esa formulación es importante. «Cargo inesperado» y «no reconozco este cargo» son expresiones muy diferentes de «estafa» y «manipulación», pero ambas pueden acabar en una devolución de cargo.

Brief your acquirer on your business model. If you're new to Mastercard processing, or if you're in a vertical with naturally elevated refund rates, proactively giving your acquirer or payment service provider context before a trigger fires puts you in a much better position than having to explain yourself during a 72-hour window. They cannot defend what they don't understand.

Get your documentation in order. Chargeflow builds detailed evidence packets for disputes. That same documentation is what your acquirer needs during an SMMP investigation. Our Mastercard chargeback survival guide walks through the records worth keeping: cancellation logs, delivery confirmations, ToS acceptance, and support interactions. They aren't just for winning disputes anymore, they're your defense against processing termination.

Why Platform and PayFac Merchants Can't Sit This One Out

Mastercard is shifting accountability upstream. Acquirers and payment facilitators now carry formal obligations to act fast on scam signals, which means they have every incentive to offboard merchants who look risky before an investigation lands on their desk. For PayFac and platform merchants, this is particularly important: the SMMP obligations flow down to sub-merchants. If a sub-merchant on your platform triggers an investigation, your acquirer is on the hook, which means you are too. Platform operators running Stripe Connect, marketplace models, or any embedded payment structure now have a direct reason to monitor dispute and refund health across their entire portfolio, not just at the platform level. That includes checkout flows run by AI agents on a merchant's behalf: our agentic commerce chargebacks playbook covers the evidence gaps those flows create. Cartis Payments has a sharp analysis of what this shift in acquirer liability actually means.

The merchants who stay off the investigation list share four traits: low combined refund and chargeback rates, clear billing descriptors, organized evidence, and a business model their acquirer already understands. Everyone else has been treating dispute management as an afterthought, assuming a clean chargeback ratio told the full story. Under SMMP, it doesn't, and acquirers are not waiting for an investigation to offboard a merchant who looks risky.

See how Chargeflow keeps you under the 5% threshold, automatically.

Preguntas frecuentes

What is Mastercard's Scam Merchant Monitoring Program (SMMP)? SMMP is a Mastercard enforcement standard that requires acquirers to investigate any merchant flagged for scam activity within 72 hours. If the investigation confirms scam activity, the merchant's Mastercard and Maestro processing is terminated immediately. It has been in effect since July 24, 2026 in every Mastercard market except Jordan.

¿En qué se diferencia el SMMP del programa ECM de Mastercard? El ECM y el EFM son programas basados en ratios que dan lugar a multas y conceden a los comerciantes un plazo para subsanar la situación. El SMMP es un programa basado en investigaciones que se activa ante señales de estafa. La consecuencia de una investigación confirmada es la suspensión inmediata de las transacciones, no una multa.

¿En qué consiste el umbral del 5 % del programa SMMP? En el caso de los comerciantes con menos de seis meses de historial de procesamiento de Mastercard y al menos 500 transacciones en un periodo de 30 días, una tasa combinada de reembolsos y devoluciones superior al 5 % puede dar lugar a una investigación del programa SMMP. Este umbral es independiente de los umbrales del programa ECM y disputas los reembolsos y disputas .

Is SMMP still in effect? Yes. SMMP took effect July 24, 2026 and acquirers have been actively running 72-hour investigations under it since launch. According to Equifax's 2026 review of the revised standards, the rules now apply in every Mastercard market except Jordan.

What is Mastercard Merchant Trust Services? Merchant Trust Services is Mastercard's 2026 strategy that pairs new-merchant onboarding screening with ongoing monitoring for acquirers and payment facilitators. It includes the Merchant Scam & Risk Indicator (MSRI), an issuer-side signal that flags risky merchants at authorization, separate from and earlier than the acquirer-led SMMP investigation process.

¿Qué comerciantes corren mayor riesgo? Los nuevos comerciantes que operan sin presencia física de la tarjeta y que llevan menos de seis meses en el sistema de Mastercard son objeto de un escrutinio más riguroso. Los comerciantes de servicios de suscripción, SaaS, juegos de azar en línea, viajes y productos digitales también presentan un riesgo elevado, ya que sus modelos de negocio generan, por naturaleza, mayores tasas de reembolsos y disputas.

¿Cómo Chargeflow a Chargeflow con la normativa SMMP? Chargeflow previene disputas se presenten, lo que mantiene baja la tasa combinada de reembolsos y devoluciones. Chargeflow prevención detiene el fraude amistoso de raíz. La documentación automatizada de pruebas Chargeflow también proporciona a los comerciantes y a sus entidades adquirentes los registros claros y organizados necesarios para responder con rapidez en caso de que se inicie una investigación.

Lecturas recomendadas

G2 Risk Solutions: Requisitos del programa MMP de Mastercard para 2026, orientación operativa sobre lo que deben tener en marcha los adquirentes y los comerciantes.

LegitScript: Los próximos seis meses redefinirán la gestión del riesgo de los comerciantes, un contexto más amplio sobre cómo encaja el SMMP en el cambio general de las normas de riesgo de los comerciantes de cara a finales de 2026.