TL;DR : Mastercard Scam Merchant Monitoring
Mastercard Scam Merchant Monitoring (SMMP) est entré en vigueur le 24 juillet 2026. Les acquéreurs doivent enquêter sur les commerçants signalés sous 72 heures et arrêter immédiatement le traitement Mastercard et Maestro si l'activité d'escroquerie est confirmée. Le SMMP diffère de l'ECM (programme de ratio de rétrofacturations) et de l'EFM (programme de ratio de fraude) : il se déclenche sur des signaux d'activité d'escroquerie tels que les rapports émetteurs, l'effondrement du taux d'autorisation et les alertes de prestataires de surveillance. Maintenant que le programme est actif, la posture opérationnelle passe de la préparation à la surveillance continue : suivre quotidiennement les tendances du taux d'autorisation, traiter chaque réponse à une contestation comme une contribution permanente au dossier, et maintenir actif le recueil de preuves au niveau du navigateur pendant le checkout.
Peu de temps ? Découvrez les outils de preuve de chargeback de cside. Elle couvre tout ce qui suit en un seul déploiement.
Le programme Scam Merchant Monitoring de Mastercard (SMMP) modifie le profil de risque des commerçants en ligne. Il cible l'activité d'escroquerie, si bien que le déclencheur peut provenir de rapports émetteurs, de documents de rétrofacturation, de renseignements Mastercard ou d'une alerte de prestataire de surveillance.
Le programme est entré en vigueur le 24 juillet 2026. Pour les responsables Paiements, Risque et Fraude, la question opérationnelle n'est plus de se préparer : il s'agit de fonctionner de manière irréprochable dans le cadre d'un programme d'application actif. Un commerçant qui paraît propre au regard d'un seuil classique de rétrofacturation peut tout de même faire l'objet d'une enquête rapide si son schéma d'activité ressemble à une opération d'escroquerie. L'acquéreur porte l'obligation formelle, mais c'est le commerçant qui porte l'écart de preuve.
Ce guide explique ce qu'est le SMMP, en quoi il diffère de l'ECM, du HECM et de l'EFM, ce qui peut déclencher une enquête, et comment les commerçants doivent opérer maintenant que le programme est en vigueur.
Qu'est-ce que Mastercard Scam Merchant Monitoring ?
Mastercard Scam Merchant Monitoring s'inscrit dans l'environnement plus large de risque et de surveillance commerçant de Mastercard. Le manuel Security Rules and Procedures Merchant Edition de Mastercard décrit la participation au Merchant Monitoring Program (MMP), les exigences des Merchant Monitoring Service Providers (MMSP), les scans initiaux pour les commerçants intégrés à partir du 1er janvier 2026, et la surveillance persistante des violations commerçant.
La mise à jour 2026 spécifique aux escroqueries est décrite par des prestataires de risque paiement, notamment Solidgate, Austreme et G2 Risk Solutions. Leur lecture commune est que les standards révisés de Mastercard entrent en vigueur le 24 juillet 2026 et imposent aux acquéreurs d'enquêter sur les commerçants signalés sous 72 heures.
L'impact pour le commerçant est direct. Si l'activité d'escroquerie est confirmée, l'acquéreur doit arrêter le traitement Mastercard et Maestro pour ce commerçant. Pour les payment facilitators et les PSP, cette responsabilité se répercute jusqu'aux commerçants sponsorisés et aux sous-commerçants.
Le programme s'applique avec le plus d'acuité aux commerçants sans carte présente. Les nouveaux commerçants se trouvent dans la fenêtre la plus tendue, car les opérations d'escroquerie traitent souvent rapidement, accumulent des contestations, et disparaissent avant que la surveillance classique ne les rattrape.
En quoi le SMMP diffère de l'ECM, du HECM et de l'EFM
Mastercard dispose déjà de plusieurs dispositifs de surveillance. Le SMMP ajoute un mode de défaillance différent.
| Programme | Déclencheur principal | Cible habituelle | Conséquence pour le commerçant |
|---|---|---|---|
| ECM | Rétrofacturations excessives | Nombre de contestations et ratio de rétrofacturation | Surveillance, pression de remédiation et pénalités |
| HECM | Rétrofacturations fortement excessives | Nombre de contestations et ratio de rétrofacturation plus élevés | Escalade renforcée et pénalités |
| EFM | Fraude excessive | Volume de fraude, ratio de fraude et contrôles anti-fraude | Inscription à un programme fraude et pénalités |
| SMMP | Activité d'escroquerie suspectée ou confirmée | Indicateurs d'escroquerie, rapports émetteurs, alertes de surveillance et résultats d'enquête | Arrêt immédiat du traitement si confirmé |
ECM et HECM sont des programmes de ratio. EFM est un programme de surveillance de la fraude. SMMP est un programme d'enquête déclenché par des signaux d'escroquerie. Un commerçant peut se trouver dans plusieurs dispositifs à la fois.
Cette distinction compte sur le plan opérationnel. Un commerçant peut traiter l'ECM comme un problème de gestion de seuil : réduire les contestations, améliorer la représentation, et repasser sous la limite. Le SMMP donne aux acquéreurs une fenêtre de décision resserrée. Si les preuves disponibles pointent vers une activité d'escroquerie, le résultat peut être la perte de l'acceptation Mastercard et Maestro, et non simplement une amende à absorber.
Qu'est-ce qui déclenche une enquête SMMP ?
Les analyses du secteur décrivent quatre groupes de déclencheurs concrets. Mastercard doit rester la source de vérité pour les règles opérationnelles définitives, mais les commerçants doivent surveiller ces quatre groupes avant juillet.
Effondrement du taux d'autorisation
Une chute soudaine du taux d'approbation peut faire ressembler un commerçant à une opération d'escroquerie, surtout lorsque la baisse se concentre sur une courte période. Solidgate décrit ce signal comme une baisse de 50 points de pourcentage ou plus en 72 heures, ou un taux d'approbation passant sous 30%, sous réserve d'un volume minimal de transactions et d'exclusions telles que les attaques BIN ou les pannes du processeur.
Des commerçants légitimes peuvent tout de même déclencher ce schéma. Une mauvaise campagne, un problème de routage des paiements, des tentatives de nouvelle autorisation agressives, ou un problème de qualité du trafic peuvent tous produire un comportement d'autorisation qui paraît anormal du point de vue du réseau.
Notification GRIP
Une notification Global Rules Investigation Program relie un commerçant à une activité frauduleuse suspectée, sur la base des renseignements de Mastercard. Une lettre GRIP est un signal au niveau du réseau que l'acquéreur doit prendre au sérieux, et non un avertissement de performance commerçant ordinaire.
Les commerçants ne doivent pas attendre ce type de notification pour organiser leurs preuves. Une fois la notification reçue, l'acquéreur est déjà sous contrainte de temps.
Signaux de nouveau commerçant
Les nouveaux commerçants ayant moins de six mois d'historique d'acceptation Mastercard font l'objet d'une surveillance renforcée. L'ensemble des déclencheurs rapportés inclut les rapports de fraude de type 56 provenant de deux émetteurs différents, les rétrofacturations de plusieurs émetteurs avec des documents faisant référence à une escroquerie ou une manipulation, et un taux combiné de remboursements et de rétrofacturations au-delà d'un seuil de 5% sur une période glissante.
C'est la catégorie la plus importante pour les commerçants légitimes en forte croissance. Un nouveau commerçant d'abonnement, un vendeur de voyage, ou un opérateur d'iGaming peut générer un langage de contestation qui paraît pire que le parcours client réel. La confusion de descripteur, la facturation essai-vers-payant, et la livraison intangible augmentent tous ce risque.
Alertes MMSP
Le cadre MMP de Mastercard permet aux acquéreurs de travailler avec des Merchant Monitoring Service Providers approuvés. Le manuel Mastercard actuel décrit l'enregistrement MMSP, les scans initiaux, la surveillance persistante, et les exigences de reporting. Une alerte d'un prestataire de surveillance peut placer le commerçant sur une voie d'enquête si l'activité ressemble à une escroquerie ou à une violation commerçant.
Que se passe-t-il pendant l'enquête de 72 heures ?
La fenêtre de 72 heures est une obligation de l'acquéreur, pas un délai de grâce pour le commerçant. Une fois qu'un déclencheur se déclenche, l'acquéreur doit examiner rapidement le commerçant et décider si l'activité est légitime, suspecte mais remédiable, ou une escroquerie confirmée.
Cet examen peut porter sur les dossiers d'intégration, les registres de transactions, le comportement de remboursement, les documents de rétrofacturation, les rapports émetteurs, le contenu du site web, les descripteurs de facturation, et les communications commerçant. Pour les PSP et les payment facilitators, il peut aussi porter sur les registres des sous-commerçants et le risque de blanchiment via transactions.
La preuve du commerçant compte, car les acquéreurs ne disposent souvent pas du contexte complet du titulaire de carte. Un processeur peut voir les résultats d'autorisation, les contestations, le volume de remboursements, et certaines données d'intégration. Il ne peut généralement pas reconstituer ce que le titulaire a vu dans le navigateur, quel appareil a finalisé le checkout, ou si le parcours de session confirme un achat légitime.
C'est l'écart que les commerçants doivent combler avant le début de l'enquête. Une preuve capturée après coup est plus faible qu'une preuve capturée au moment du checkout.
Quels commerçants sont les plus exposés ?
Les nouveaux commerçants sans carte présente ayant moins de six mois d'historique d'acceptation Mastercard forment le groupe le plus exposé, car plusieurs déclencheurs SMMP rapportés ciblent spécifiquement le comportement des premiers mois.
Plusieurs secteurs verticaux présentent une exposition structurelle supplémentaire :
- Abonnement et SaaS : la conversion essai-vers-payant, les renouvellements oubliés et la confusion de descripteur créent des contestations que les clients peuvent décrire comme inattendues
- iGaming et biens numériques : la forte vélocité des transactions et la livraison intangible facilitent l'usage d'un langage d'escroquerie côté émetteur
- Voyage : un panier moyen élevé et des pics saisonniers de remboursement peuvent faire évoluer rapidement le taux combiné de remboursements et de rétrofacturations
- E-commerce et retail : les contestations de retour, les retards d'expédition et des registres de livraison peu clairs peuvent affaiblir la position du commerçant pendant l'examen
- Commerçants à faible reconnaissance de descripteur : les clients qui ne reconnaissent pas un débit appellent souvent d'abord l'émetteur, et leur langage peut intégrer le dossier de contestation
Aucune de ces caractéristiques ne prouve à elle seule une activité d'escroquerie. Elles augmentent simplement la probabilité qu'une friction commerçante ordinaire produise les mêmes signaux que Mastercard et les acquéreurs surveillent.
Comment la preuve de rétrofacturation réduit l'exposition SMMP
L'exposition SMMP dépend en partie du contenu et du nombre de contestations. Si plusieurs émetteurs soumettent des rétrofacturations avec un langage d'escroquerie ou de manipulation, ce dossier peut devenir un déclencheur d'enquête. Chaque contestation non contestée ou mal défendue renforce le signal.
Une preuve de représentation solide aide de deux façons.
D'abord, elle réduit l'accumulation. Une rétrofacturation représentée avec succès ne pèse pas autant qu'une contestation non contestée faisant référence à une escroquerie. Les commerçants qui contestent des réclamations faibles avec des preuves complètes gardent un dossier émetteur plus propre.
Ensuite, elle donne à l'acquéreur un élément utile pendant l'enquête. L'acquéreur doit décider rapidement si le commerçant est une opération d'escroquerie ou une entreprise légitime avec un problème de contestations. Les registres de commande côté serveur aident, mais ils ne montrent pas la session de checkout complète.
cside Chargeback Evidence capture les données au niveau du navigateur pendant le checkout : identité de l'appareil, continuité de session, contexte IP réel du client, et activité sur la page de transaction. Cette preuve est utile car elle montre la transaction dans l'environnement où le client l'a effectivement finalisée.
La même stratégie de preuve soutient les contestations Visa sous Compelling Evidence 3.0, où l'ID d'appareil et l'IP sont des champs limitants. Pour le détail opérationnel, consultez comment retirer un TC40 de votre ratio VAMP grâce à CE 3.0 et le device fingerprinting pour les rétrofacturations Compelling Evidence.
SMMP et VAMP créent un seul et même problème de preuve
Visa et Mastercard abordent le risque commerçant sous des angles différents en 2026. Le VAMP de Visa combine les rapports de fraude et les contestations en un seul ratio. Le SMMP de Mastercard se concentre sur l'activité d'escroquerie et l'enquête acquéreur.
Les mécaniques de conformité diffèrent, mais la préparation des commerçants est similaire. Il faut des registres de transaction propres, des descripteurs cohérents, des opérations de contestation rapides, et une preuve au niveau du navigateur capturée avant que le titulaire n'appelle l'émetteur.
Le guide commerçant VAMP 2026 explique comment le seuil commerçant de 1,5% de Visa change l'économie des contestations. Le SMMP ajoute un risque Mastercard distinct : le contenu documentaire des contestations peut contribuer à un déclencheur de surveillance d'escroquerie, pas seulement à un ratio de rétrofacturation.
Le résultat est un standard de preuve unique pour les deux réseaux. Si le titulaire de carte était présent dans le navigateur, a navigué le checkout, s'est authentifié, et a finalisé la transaction depuis un appareil reconnu, les commerçants doivent conserver cette preuve.
Liste de vérification des commerçants : opérer sous le SMMP
La date d'application du 24 juillet 2026 est passée. Les commerçants qui n'ont toujours pas mis en place ces contrôles doivent traiter chaque point comme une lacune de conformité ouverte.
- Auditez les taux de remboursement et de rétrofacturation sur des périodes glissantes de 30 jours. Suivez toute période approchant 5% de remboursements et rétrofacturations combinés, pas seulement des instantanés mensuels
- Passez en revue les contestations au langage d'escroquerie en continu. Segmentez les rétrofacturations dont la documentation émetteur mentionne l'escroquerie, la manipulation, la tromperie ou une facturation inattendue ; celles-ci alimentent le dossier de déclencheur SMMP
- Maintenez à jour la reconnaissance des descripteurs de facturation. Alignez les descripteurs entre processeurs, devises, abonnements et débits ponctuels ; le manque de reconnaissance est une source directe de contestations au langage d'escroquerie
- Surveillez quotidiennement les tendances du taux d'autorisation. Recherchez les chutes soudaines par BIN, émetteur, marché, campagne, passerelle et source de trafic ; un effondrement de 50 points ou une chute en dessous de 30% du taux d'approbation peut déclencher les critères SMMP
- Maintenez actif le recueil de preuves au niveau du navigateur pendant le checkout. L'ID d'appareil, la continuité de session et le contexte IP réel du client ne peuvent pas être reconstitués une fois une contestation ouverte
- Validez les dossiers de représentation par rapport aux contestations récentes. Faites passer les 30 derniers jours de contestations dans le flux de preuves et identifiez les champs manquants avant la prochaine fenêtre d'enquête
- Tenez votre acquéreur informé. Les commerçants en forte croissance qui ajoutent des marchés ou des modes de paiement doivent notifier l'acquéreur avant l'expansion, pas après réception d'une notification GRIP
Le SMMP est en vigueur depuis le 24 juillet 2026 : opérer dans le cadre du programme maintenant
Le Mastercard Scam Merchant Monitoring Program est entré en vigueur le 24 juillet 2026. L'accent passe de la préparation à l'échéance aux opérations continues.
La surveillance du taux d'autorisation est désormais une obligation permanente. Les effondrements qui paraissaient auparavant comme un problème temporaire de routage des paiements déclenchent désormais des critères d'enquête actifs. Les commerçants doivent suivre les tendances d'autorisation quotidiennes par BIN, source de trafic et passerelle, plutôt que de les examiner sur un cycle mensuel.
Chaque réponse à une contestation devient une contribution permanente au dossier. Les rétrofacturations faisant référence à une escroquerie soumises par les émetteurs font partie du dossier Mastercard qu'un acquéreur évalue pendant la fenêtre de 72 heures. Les commerçants doivent considérer la qualité de la réponse aux contestations comme une obligation de conformité, et non comme un simple exercice de récupération.
Les nouveaux commerçants restent dans une fenêtre plus resserrée. Les commerçants intégrés après le 1er janvier 2026 ont fait l'objet de scans initiaux. Ceux qui atteignent désormais la marque des six mois font face à une transition dans l'intensité de la surveillance. Les commerçants en forte croissance ajoutant de nouveaux marchés ou modes de paiement doivent informer leurs acquéreurs avant de s'étendre.
La preuve au niveau du navigateur ne peut pas être reconstituée après coup. L'identité de l'appareil, la continuité de session et le contexte IP réel du client capturés lors du checkout ne peuvent pas être reconstruits après une contestation. Les commerçants qui n'ont pas instrumenté cela avant juillet doivent considérer la lacune comme un élément de conformité ouvert et la combler avant le prochain cycle de contestations.
Pour les acquéreurs et les facilitateurs de paiement, l'obligation SMMP s'étend aux commerçants sponsorisés. Les PSP qui intègrent des commerçants sans carte présente à grande échelle doivent confirmer que les cadres de surveillance et les capacités de preuve couvrent l'ensemble du portefeuille, pas seulement les comptes les plus importants en volume.
Opérer sous le SMMP : 30 jours après la date d'application
La date d'application du 24 juillet 2026 est désormais dépassée de plus de 30 jours. Le programme est passé de l'anticipé à l'opérationnel.
Les acquéreurs mènent des enquêtes actives. Des enquêtes SMMP sont en cours depuis la date d'entrée en vigueur. Les commerçants dont l'activité de contestations correspondait aux critères de signaux d'escroquerie ont eu des acquéreurs qui ont agi directement sous l'obligation de 72 heures. Si vous n'avez pas reçu de contact de votre acquéreur, cela reflète votre profil de contestations actuel — ce n'est pas une garantie que le schéma ne changera pas.
Les nouveaux commerçants intégrés en 2026 sont entièrement dans le périmètre de surveillance. Tout commerçant ayant débuté l'acceptation Mastercard après le 1er janvier 2026 est désormais dans le champ de la surveillance active. Les commerçants approchant des six mois d'historique de traitement entrent dans la période où le renforcement du contrôle des nouveaux commerçants continue de s'appliquer.
La fenêtre de 72 heures n'est pas un paramètre de planification. Les acquéreurs menant des enquêtes sous SMMP prennent des décisions sous pression de temps réelle. Les preuves qui prennent plus d'un jour à rassembler sont effectivement indisponibles lorsque l'horloge tourne.
La preuve au niveau du navigateur est la lacune la plus courante. Les enregistrements de transactions côté serveur sont généralement présents dans les systèmes des commerçants et des acquéreurs. Ce qui manque souvent, c'est le contexte de la session de paiement : l'appareil qui a finalisé la transaction, le parcours de session et l'environnement IP du client lors de l'autorisation. Ces données ne peuvent être capturées que dans le navigateur, lors du paiement, avant l'ouverture d'un litige. Les commerçants qui n'ont pas instrumenté cela doivent le traiter comme une lacune de conformité ouverte.
La liste de vérification opérationnelle ci-dessus n'a pas changé. Ce qui a changé, c'est le statut : le programme est actif, des enquêtes sont en cours, et les commerçants sans ces contrôles en place opèrent avec une exposition réelle.
Comparatif des programmes de surveillance de la fraude Mastercard
Les commerçants qui gèrent la conformité Mastercard rencontrent souvent plusieurs noms de programmes en même temps. Le tableau ci-dessous montre en quoi chaque programme diffère en termes de déclencheur, de mesure et de conséquence.
| Programme | Type de déclencheur | Ce qui est mesuré | Conséquence |
|---|---|---|---|
| ECM | Rétrofacturations excessives | Ratio de rétrofacturations et volume par rapport à une base glissante | Surveillance, remédiation et évaluations |
| HECM | Rétrofacturations très excessives | Ratio de rétrofacturations et volume plus élevés | Escalade renforcée, évaluations |
| EFM | Fraude excessive | Ratio fraude/ventes et ratio fraude/transactions | Inscription au programme de fraude, évaluations |
| SMMP | Signaux d'activité d'escroquerie | Rapports émetteurs, effondrement du taux d'autorisation, GRIP, alertes MMSP | Enquête acquéreur ; arrêt immédiat de Mastercard et Maestro si confirmé |
Un commerçant peut être inscrit dans plusieurs programmes simultanément. La particularité du SMMP est la rapidité de la conséquence : une conclusion ECM ou EFM déclenche une fenêtre de remédiation, tandis qu'une conclusion SMMP confirmée déclenche l'arrêt immédiat du traitement.
Pour aller plus loin sur cside
- Page produit cside Chargeback Evidence
- Guide commerçant VAMP 2026
- Exigences de Compelling Evidence 3.0
- Comment retirer un TC40 via CE 3.0
- Device fingerprinting pour les rétrofacturations Compelling Evidence
Cet article reflète l'analyse de cside sur Mastercard Scam Merchant Monitoring et les programmes de risque commerçant associés, à la date du 2026-05-05. Les règles du programme, les seuils, les échéances, et les obligations des acquéreurs peuvent évoluer. Confirmez les décisions opérationnelles auprès des règles Mastercard, de votre acquéreur, et de votre processeur de paiement.
