コンプライアンスアラート／QSA視点

サブマーチャントの「返金＋チャージバック」率が5%到達、72時間以内の調査が必須
Mastercard新ルールが7月24日施行、PF（ペイメントファシリテーター）はどう備えるべきか？

施行日：2026年7月24日

近年、「詐欺加盟店モニタリング」に関する議論が広がっています。Mastercardは、GLB 12772という文書を公開し、「潜在的な詐欺加盟店モニタリング」に関する基準を改訂したとみられます。

本資料は会員向けチャネルを通じてのみ配布され、一般公開されていないため、現時点では公開情報や間接的な情報源をもとに分析しています。

Mastercard認定のMMSP（加盟店モニタリングサービスプロバイダー）であるAustremeの公式サイトでは、GLB 12772に基づくMastercardの新たな取引リスク管理要件に関する情報が確認されています。本資料の施行日は2026年7月24日であり、コンプライアンス対応の主な責任はアクワイアラおよびPFに求められると考えられます。

現時点では詳細な要件について確認が必要な部分もありますが、今後の対応準備に向けて、早期に情報を共有することが重要であると考えています。

不正利用は「Fraud」から「Scam」へ進化

「当選しました！あと一歩で完了です！」や「無料トライアルのために情報を入力してください」といった内容の1ページ型投稿は、ソーシャルメディア上で日常的に見られるようになり、多くの詐欺への入り口となっています。国家警察庁の「165詐欺防止ダッシュボード」の統計によると、毎月数万件規模の詐欺被害が報告され、金銭的被害額は数十億規模に達しています。

さらに重要なのは、これらの多くが従来型の不正なクレジットカード利用ではないという点です。むしろ、消費者自身が「自発的に」送金や支払いを行ってしまうケースが大半を占めています。

最近、Business NextのインタビューでVisaのアジア太平洋地域リスク責任者は、世界的な不正リスクの状況が「Unauthorized Fraud（不正利用）」から「Authorized Scam（利用者承認型詐欺）」へと変化していると指摘しました。被害者自身が誤った情報に誘導され、手動で決済を承認してしまうため、銀行や規制当局にとって責任範囲の特定がより困難になっています。

利用者承認型詐欺によって発生した資金は、最終的に一見すると正常な加盟店アカウントへ流入します。これらの加盟店や取引では、従来型の不正利用レポートが発生するケースは少ない一方で、異常に高い返金率、チャージバック、そして不自然な加盟店行動パターンが確認されることがあります。

そのため、カードネットワークにおける防御アプローチも変化しています。盗難カードの追跡から、資金を受け取る加盟店の監視へと重点が移行しています。

MastercardのGLB 12772も、まさにこの考え方に基づいており、「返金＋チャージバック合算比率」を活用して詐欺リスクの高い加盟店を特定します。この対応の実行主体となるのは、アクワイアラおよびPFです。

主要要件：5%、500件の取引、30日間

調査結果によると、今回の主要なトリガー条件は以下の通りです。加盟店の「返金＋チャージバック」合算比率が、ローリング30日間（現在日を基準として過去30日間を遡って算出）における取引件数の5%を超過し、かつ最低500件以上の取引が存在する場合、対象となります。

つまり、500件の取引のうち、わずか25件で問題が発生した場合でも、この基準に達することになります。この条件に該当した場合、アクワイアラまたはPFは72時間以内に調査を開始する必要があります。

調査の結果、詐欺加盟店であることが確認された場合、MastercardおよびMaestroの利用受付は即時停止する必要があるとされています。警告通知や猶予期間は設けられないと報告されています。

また、本基準では返金も分子に含まれる点が重要です。これは、チャージバックのみを対象とする従来のECPプログラムとは異なります。さらに、チャージバックは申立てが行われた時点でカウントされ、後日加盟店側が紛争に勝った場合でも、通常は集計から除外されないと考えられます。

実際の計算方法や詳細な判定ルールについては、原文書およびご利用のアクワイアラから提供される正式な指示をご確認ください。

図1｜GLB 12772に基づく72時間以内の調査ワークフロー （追加のトリガー条件：認証率低下、GRIPレター、MMSPアラートなど）

5%という基準値だけがトリガー条件ではありません。同文書では、その他の判定条件として以下の項目も挙げられているとされています。認証成功率の急激な低下（72時間以内に最低25件の取引があり、承認率が50ポイント以上低下、または30%未満に低下した場合）、GRIP調査レターの受領、およびMMSPによる詐欺アラートです。

さらに、アクワイアラはFLD（Fraud and Loss Database：不正・損失データベース）を利用し、新たに追加された詐欺リスク加盟店について日次確認を実施する必要があります。

また、Mastercardなどのカードネットワークは、承認処理時のリスク判断を支援するため、イシュア向けにMerchant Scam & Risk Indicator（MSRI）などのサービスを提供しています。加えて、イシュア側のリスク管理システムが、カード会員からの詐欺報告などをもとに特定の加盟店を高リスクとして判定している場合もあります。

その結果、対象加盟店の決済承認率が低下する可能性があります。そのため、アクワイアラまたはPFが加盟店の認証承認率の大幅な低下を検知した場合、その加盟店がすでにMSRIなどのリスク情報に登録されている可能性を示唆します。したがって、認証率の急激な低下も、重要な監視トリガーの一つとなります。

PF（ペイメントファシリテーター）への注意事項

現在入手可能な複数の情報源に基づくと、GLB 12772における対応義務を負う主体は、加盟店自身ではなく、アクワイアラおよびPF（ペイメントファシリテーター）であると考えられます。

この理解が正しい場合、貴社の管理下にあるいずれかのサブマーチャントがトリガー条件に該当した時点で、72時間以内の調査対応責任は貴社側に発生します。

調査の実施を怠った場合や、必要な利用停止措置が遅れた場合、Mastercardは対応責任を貴社に求める可能性があります。つまり、加盟店のリスク比率は、そのまま貴社のコンプライアンスリスクにつながることになります。

以下では、調査対象となる可能性が高い加盟店のタイプをいくつか紹介します。

今から始めるべき準備と対応策

複数の情報源から確認した規制動向を踏まえ、まず優先して取り組むべき実行項目は、取引の正当性を監視することです。その後、適切な評価を実施し、サブマーチャントの取引が継続的に管理下に置かれ、リスクの限界ラインを超えないようにすることが重要です。以下に、推奨される準備対応事項を示します：

1. サブマーチャント向け「返金＋チャージバック」確認機能またはAPIの提供（重要）
   多くの加盟店は、返金とチャージバックを別々に管理しており、「返金＋チャージバック合算5%」という判定基準を十分に認識していません。 そのため、サブマーチャント自身がローリング30日間の合算比率をリアルタイムで確認できる機能（および5%基準までどの程度近づいているかを確認できる機能）を提供することは、最も低コストかつ直接的にリスクを事前対応へ移行させる方法です。加盟店自身がリスク状況を把握できれば、PF側による利用停止措置を待つのではなく、加盟店自らが早期に改善対応を開始できます。
2. プラットフォーム側で30日間ローリング監視と内部警告基準を設定
   すべての加盟店を対象に、30日間のローリングウィンドウで「返金＋チャージバック」の合算比率を算出し、5%到達前の内部警告閾値（例：3.5%）を設定します。この警告を早期に発動することで、72時間以内の調査義務が開始される前に、加盟店への事前指導やリスク低減対応を実施することが可能になります。
3. 2時間以内の調査SOPおよび証跡取得チェックリストの策定
   期限内に、以下の対応を完了する必要があります：取引記録の取得、返金状況の確認、チャージバック関連資料の収集、Webサイトコンテンツの確認、決済明細上の請求者名の確認、ならびに加盟店とのコミュニケーションログの取得です。また、調査実施の証跡として、タイムスタンプ付きの記録を適切に保存する必要があります。期限内の対応を確実に実施するため、あらかじめ調査ワークフローや必要な報告フォームを整備しておくことが重要です。
4. 新規加盟店登録プロセスの見直し（2026年1月適用予定）
   解釈によると、新規加盟店については、初回取引が発生する前にWebサイトスキャンを完了する必要があり、そのスキャンはMastercard認定MMSPによって実施、またはMMSPとの共同実施が求められるとされています。そのため、現在利用しているMMSPとの連携体制、およびスキャン対象範囲が十分であるかを事前に確認することを推奨します。
5. 異常な認証率をアラート条件に組み込む
   単一加盟店における72時間以内の承認率の急激な低下は、カードテスト攻撃やソーシャルメディア等での詐欺報告が発生している可能性を示す、初期の重要なシグナルとなることがあります。また、これは今回の新ルールにおける公式なトリガー条件の一つとして位置付けられています。
6. サブマーチャント契約条項の更新
   契約書には、調査協力義務、データ提供期限、即時契約解除に関する条項を盛り込み、72時間以内に必要な対応を実施できるよう、契約上の根拠を確保してください。
7. アクワイアラへGLB 12772原文書の提供を依頼
   公開されている情報は、二次情報源に基づくものです。部分返金のカウント方法や500件の取引の正確な定義など、具体的な実装要件については、必ず正式な原文書およびご利用のアクワイアラから提供される実装ガイドラインをご確認ください。

参照: Mastercard文書 GLB 12772（会員限定資料、アクワイアラおよびペイメントファシリテーター向け）。本記事で参照している各種パラメータは、Mastercard認定MMSPであるAustremeの公開情報（austreme.com）および複数の決済リスク管理企業による共通見解・解釈に基づいています。 また、不正リスク動向に関する背景情報は、Visaアジア太平洋地域リスク責任者へのBusiness Next（bnext.com.tw）のインタビュー記事を参考にしています。 本記事はコンプライアンスアラートを目的とした情報提供であり、具体的な条項や適用要件については、必ずMastercardの正式文書をご確認ください。