Novas regras da Mastercard sobre o esquema “ Lojista ”: o que todo profissional de comércio eletrônico e SaaS Lojista precisa saber antes de julho de 2026

Mastercard's Scam Merchant Monitoring Program (SMMP) is the standard requiring acquirers in every Mastercard market except Jordan to investigate any merchant flagged for scam activity within 72 hours. SMMP has been live since July 24, 2026: a confirmed investigation means immediate termination of Mastercard and Maestro processing, with no fine and no grace period.

A Mastercard vem há anos contando com programas de índices d chargeback , como o ECM e o EFM, para gerenciar o risco de “ Lojista ”. Esses programas aplicam multas quando os números ultrapassam um limite, concedem um prazo para que a situação seja corrigida e escalam o caso se isso não ocorrer. São medidas incômodas, mas suportáveis. Além desses programas baseados em índices, a Mastercard também administra o programa de auditoria Mastercard GMAP, que analisa diretamente os controles de risco de um “ Lojista ”.

O Programa de Monitoramento de Fraudes “ Lojista ” (SMMP) funciona de maneira diferente. Não se trata de limites que você ultrapassa gradualmente. Trata-se de sinais que indicam atividade fraudulenta e, quando esses sinais aparecem, as consequências são imediatas. As operadoras têm 72 Horas para investigar e, se confirmarem a atividade fraudulenta, o processamento de transações Mastercard e Maestro é interrompido imediatamente. Sem avisos, sem prazo para correção. Sua capacidade de aceitar cartões simplesmente desaparece.

SMMP has now been in active enforcement for over a month, and the onboarding requirements for new merchants have applied since January 2026. According to Equifax's 2026 analysis of Mastercard's revised standards, the rules apply in every market Mastercard operates in except Jordan. If you sell eCommerce, SaaS, or subscriptions, this affects you more than you might think. If you need a primer first, start with what is a chargeback before working through the SMMP specifics below.

Desde janeiro de 2026, os adquirentes também são obrigados a fazer uma varredura em todos os novos sites de Lojista antes de processar sua primeira transação. Se um provedor de monitoramento sinalizar algum problema durante essa varredura, o adquirente tem 15 dias para investigar e corrigir a situação. Essa é uma obrigação distinta do prazo de 72 horas do SMMP, e significa que os novos Lojistas estão sob escrutínio antes mesmo de processarem um único pagamento.

Isso não é ECM. As consequências são diferentes.

A maioria dos Lojistas está familiarizada com os programas de monitoramento existentes da Mastercard. O ECM (Excessive Chargeback Lojista ) e o EFM (Excessive Fraud Lojista) funcionam com base em índices. Se você for sinalizado, receberá uma multa e terá um prazo para melhorar. O SMMP opera com uma lógica completamente diferente.

Veja como eles se comparam:

O ECM e o EFM dão tempo para você resolver as coisas. O SMMP não.

A principal diferença é que o SMMP oferece aos adquirentes um prazo de decisão mais curto. Uma empresa de “ Lojista ” pode estar em perfeita conformidade com as regras do ECM, com os índices d Disputa es dentro de limites aceitáveis, e ainda assim ser sinalizada pelo SMMP se o padrão de atividade parecer uma operação fraudulenta. Esses programas funcionam em paralelo, não em sequência. Para uma comparação detalhada de como o SMMP difere do ECM e do EFM, consulte a análise da cside.

This isn't just a Mastercard story. Visa moved first with VAMP (Visa Acquirer Monitoring Program), which shifted accountability to acquirers for fraud and dispute performance across their merchant portfolios. Mastercard's SMMP completes the picture on their network. Together, they represent a coordinated shift across both card networks: one evidence standard, one expectation, two deadlines. For the fee and timeline side of Visa's own rules, see our Visa chargeback dispute rules guide. If you're positioning your dispute management around VAMP and ECM, SMMP belongs in that same conversation.

O que realmente desencadeia uma investigação

Existem quatro categorias de gatilhos em relação às quais as adquirentes são obrigadas a agir:

Uma queda repentina nas taxas de autorização. Se a sua taxa de aprovação cair 50 pontos percentuais ou mais em um intervalo de 72 horas, ou ficar abaixo de 30% enquanto você estiver processando pelo menos 25 transações, isso aciona uma revisão. Uma campanha mal elaborada, um problema de roteamento ou uma estratégia agressiva de repetição de tentativas podem causar esse padrão. Isso não significa necessariamente que haja fraude, mas, do ponto de vista da Mastercard, parece ser uma fraude.

Uma carta do GRIP da Mastercard. Uma notificação do Programa Global de Investigação de Regras (GRIP) significa que a Mastercard já sinalizou sua conta por suspeita de atividade fraudulenta no nível do Sistema de Processamento de Cartões ( Rede ). Quando o seu adquirente receber uma dessas notificações, o prazo já estará em andamento.

New merchant scam signals. This is the one that hits legitimate businesses hardest. If you have less than six months of Mastercard processing history, you're in a heightened monitoring window. Two different issuers filing fraud type 56 reports against you, chargebacks from multiple issuers with documentation mentioning scams or manipulation, or a combined refund and chargeback rate above 5% in any rolling 30-day period can all trigger an investigation. Fraud type 56 is one of several Mastercard chargeback reason codes, and it classifies first-party misuse, more commonly known as friendly fraud, where the cardholder made the purchase but disputes it anyway. Two issuers filing this against the same merchant is a strong signal of a pattern, not a one-off. 

Um alerta de um Provedor de Serviços de Monitoramento de Lojista s (MMSP). A Mastercard trabalha com provedores terceirizados aprovados que analisam padrões de comportamento de Lojista . Um alerta de um desses provedores pode levá-lo a ser alvo de uma investigação. O resumo da Austreme sobre as atualizações do MMP de junho de 2025 aborda como os requisitos do MMSP evoluíram.

Mastercard's Newest Layer: Merchant Trust Services and MSRI

Mastercard has added a second track on top of SMMP. Under a strategy it calls Merchant Trust Services, Mastercard combines onboarding screening with ongoing monitoring for acquirers and payment facilitators, and it introduced the Merchant Scam & Risk Indicator (MSRI), a new authorization-point signal that flags risky merchants directly to issuers rather than waiting for an acquirer-side investigation. According to Mastercard's own 2026 announcement, pilot data shows MSRI catching roughly 80% of risky merchants, in many cases up to 90 days before an issuer would otherwise escalate a pattern. MSRI is rolling out first in Europe and the US before expanding globally.

This does not replace the 72-hour SMMP investigation window described above. SMMP still governs how acquirers respond once scam activity is suspected. MSRI adds an earlier tripwire on the issuer side, which means merchants can now be flagged before an acquirer-led SMMP investigation ever starts. For subscription and SaaS merchants already tracking their combined refund and chargeback rate, this is another reason to keep that number clean well before it approaches 5%.

Por que a Subscription e a SaaS Lojistas estão particularmente expostas

O limite combinado de 5% é uma novidade. Não importa se sua relação “ chargeback ” está dentro das regras do ECM. O que importa é se seus reembolsos, somados a chargebacks, excedem 5% em qualquer período de 30 dias com mais de 500 transações. Para empresas de assinatura Lojistas, SaaS e novos negócios CNP, as taxas de reembolso são naturalmente mais altas. Cancelamentos de períodos de teste, renovações esquecidas, confusão na descrição da cobrança e escalações para o atendimento ao cliente — tudo isso eleva esse número antes mesmo que uma única reclamação Disputa seja registrada.

Se os reembolsos e o “ disputas ” forem considerados em conjunto, a prevenção precoce se torna ainda mais importante do que a recuperação. Essa é uma mudança significativa na forma como os “ Lojistas ” devem encarar sua estratégia de “ Disputa ” no âmbito do SMMP.

Os novos Lojistas estão na categoria de maior risco. Operações fraudulentas costumam se cadastrar, processar transações rapidamente, acumular disputas e desaparecer. A Mastercard conhece esse padrão, e é por isso que as regras são mais rígidas para Lojistas com menos de seis meses de histórico de processamento. Uma nova assinatura legítima ou um negócio SaaS passa pelo mesmo escrutínio.

The 72-hour investigation window means acquirers need clean evidence fast. If an investigation opens, your acquirer will be pulling transaction records, refund behavior, chargeback documentation, website content, and billing descriptors. The merchants who get cleared quickly are the ones who have organized, complete evidence ready before the question is ever asked. A broader ecommerce fraud prevention strategy, not just an SMMP checklist, is what keeps you out of this position in the first place.

What Merchants Should Do Now That SMMP Is Live

Acompanhe os reembolsos e o “ chargebacks ” em conjunto, e não separadamente. A maioria dos sistemas de monitoramento de “ Disputa ” trata esses indicadores como métricas distintas. No SMMP, eles são combinados. Comece agora a calcular sua taxa combinada móvel de 30 dias e defina um alerta interno bem abaixo de 5% para ter tempo de reação.

Prioritize prevention over recovery for high-refund categories. Chargeflow Alerts deflects disputes before they file, which keeps the combined rate down. See how chargeback prevention alerts work if you haven't set these up yet. Chargeflow Prevent goes further by stopping friendly fraud at the source. For new merchants or anyone approaching the 5% threshold, prevention is more valuable than recovery right now.

Revise suas descrições de cobrança. A confusão nas descrições é um dos motivos mais comuns pelos quais os clientes ligam para a operadora do cartão em vez de para sua equipe de suporte. Quando ligam para a operadora, a forma como se referem à cobrança geralmente passa a fazer parte do registro de “ Disputa ”, e, no âmbito do SMMP, essa linguagem é importante. “Cobrança inesperada” e “não reconheço isso” são muito diferentes de “golpe” e “manipulação”, mas ambas podem acabar em um “ chargeback ”.

Brief your acquirer on your business model. If you're new to Mastercard processing, or if you're in a vertical with naturally elevated refund rates, proactively giving your acquirer or payment service provider context before a trigger fires puts you in a much better position than having to explain yourself during a 72-hour window. They cannot defend what they don't understand.

Get your documentation in order. Chargeflow builds detailed evidence packets for disputes. That same documentation is what your acquirer needs during an SMMP investigation. Our Mastercard chargeback survival guide walks through the records worth keeping: cancellation logs, delivery confirmations, ToS acceptance, and support interactions. They aren't just for winning disputes anymore, they're your defense against processing termination.

Why Platform and PayFac Merchants Can't Sit This One Out

Mastercard is shifting accountability upstream. Acquirers and payment facilitators now carry formal obligations to act fast on scam signals, which means they have every incentive to offboard merchants who look risky before an investigation lands on their desk. For PayFac and platform merchants, this is particularly important: the SMMP obligations flow down to sub-merchants. If a sub-merchant on your platform triggers an investigation, your acquirer is on the hook, which means you are too. Platform operators running Stripe Connect, marketplace models, or any embedded payment structure now have a direct reason to monitor dispute and refund health across their entire portfolio, not just at the platform level. That includes checkout flows run by AI agents on a merchant's behalf: our agentic commerce chargebacks playbook covers the evidence gaps those flows create. Cartis Payments has a sharp analysis of what this shift in acquirer liability actually means.

The merchants who stay off the investigation list share four traits: low combined refund and chargeback rates, clear billing descriptors, organized evidence, and a business model their acquirer already understands. Everyone else has been treating dispute management as an afterthought, assuming a clean chargeback ratio told the full story. Under SMMP, it doesn't, and acquirers are not waiting for an investigation to offboard a merchant who looks risky.

See how Chargeflow keeps you under the 5% threshold, automatically.

Perguntas frequentes

What is Mastercard's Scam Merchant Monitoring Program (SMMP)? SMMP is a Mastercard enforcement standard that requires acquirers to investigate any merchant flagged for scam activity within 72 hours. If the investigation confirms scam activity, the merchant's Mastercard and Maestro processing is terminated immediately. It has been in effect since July 24, 2026 in every Mastercard market except Jordan.

Em que o SMMP difere do programa ECM da Mastercard? O ECM e o EFM são programas baseados em índices que resultam em multas e concedem ao Lojistas e um prazo para corrigir a situação. O SMMP é um programa baseado em investigações, acionado por sinais de fraude. A consequência de uma investigação confirmada é o encerramento imediato do processamento, e não uma multa.

O que é o limite de 5% no âmbito do SMMP? Para os “ Lojistas ” com menos de seis meses de histórico de processamento da Mastercard e pelo menos 500 transações em um período de 30 dias, uma taxa combinada de reembolsos e “ chargeback ” acima de 5% pode desencadear uma investigação do SMMP. Esse limite é distinto dos limites do ECM e contabiliza os reembolsos e os “ disputas ” em conjunto.

Is SMMP still in effect? Yes. SMMP took effect July 24, 2026 and acquirers have been actively running 72-hour investigations under it since launch. According to Equifax's 2026 review of the revised standards, the rules now apply in every Mastercard market except Jordan.

What is Mastercard Merchant Trust Services? Merchant Trust Services is Mastercard's 2026 strategy that pairs new-merchant onboarding screening with ongoing monitoring for acquirers and payment facilitators. It includes the Merchant Scam & Risk Indicator (MSRI), an issuer-side signal that flags risky merchants at authorization, separate from and earlier than the acquirer-led SMMP investigation process.

Quais são os “ Lojistas ” que correm maior risco? Os novos “card-not-present” Lojistas com menos de seis meses de histórico na Mastercard enfrentam o escrutínio mais rigoroso. Serviços de assinatura, SaaS, jogos online (iGaming), viagens e bens digitais Lojistas também apresentam maior exposição, pois seus modelos de negócios geram, por natureza, taxas mais elevadas de reembolso e Disputa .

Como o Chargeflow ajuda na conformidade com o SMMP? Chargeflow Alertas bloqueia disputas antes que elas sejam registradas, mantendo baixa a taxa combinada de reembolso e chargeback . Chargeflow PREVENÇÃO impede a fraude amigável na fonte. A documentação automatizada de evidências do Chargeflow também fornece ao Lojistas e aos seus adquirentes os registros claros e organizados necessários para responder rapidamente caso seja aberta uma investigação.

Leitura complementar

G2 Risk Soluções: Requisitos do MMP da Mastercard para 2026, orientações operacionais sobre o que as adquirentes e os Lojistas devem ter em vigor.

LegitScript: Os próximos seis meses redefinirão a gestão de riscos do “ Lojista ”, um contexto mais amplo sobre como o SMMP se encaixa na mudança mais abrangente nos padrões de risco d Lojista , rumo ao final de 2026.