合规提醒 / QSA 观点
特约商户“退款+拒付”达 5%，72 小时内必须启动调查
Mastercard 新规 7/24 生效，PF 该提早准备什么？
2026-07-24 生效日
近期可以发现大家开始在讨论 Scam Merchant Monitoring 的议题，Mastercard 似乎已发布文件 GLB 12772，修订“潜在欺诈商户监控（Potential Scam Merchant Monitoring）”相关标准，由于这份文件仅通过会员通道发送、未对外公开，因此我们只能从间接的渠道来研究这一个议题。我们在 Mastercard 认可的 MMSP（特约商户监控服务商）Austreme 的官网上，发现了 Mastercard 的规定，发现了 GLB 12772 修订相关新的交易风控的规定，并且这份文件的生效日期是 July 24, 2026 ，相关义务看起来主要会落在收单机构与 PF (Payment Facilitator，即代收代付机构/支付服务商) 身上。即使细节仍待确认，我们认为值得先让各位知道、提早留意。
欺诈正在从 Fraud 走向 Scam
“你中奖了!! 只差一步!!” 、“填写基本资料即可免费体验”这类一页式帖子早已是社交平台日常风景，其中不少是诈骗入口；依内政部警政署“165打诈仪表板”统计，单月受理案件可达上万件、资金损失数十亿元，且多数案例不是传统的盗刷，而是消费者“自愿”把钱付出去。《数字时代》采访 Visa 亚太区风险长时也指出，全球诈骗形态正从“未授权欺诈（Fraud）”转向“授权诈骗（Scam）”受害者是在被误导下亲手完成付款，银行与监管机构因此更难界定责任。
授权诈骗的钱最终会流进某个“看起来正常”的商户账号，这类型的商户跟交易，触发少数的盗刷通报，但也产生异常的退款比例、拒付与异常商户行为模式上。卡组织的防线也随之位移。从追查被盗的卡，转向监控收钱的商户。Mastercard 的 GLB 12772 正是循这个脉络，用“退款+拒付合计比率”把 Scam 商户筛出来，执行者就是收单行与 PF。
新规定的重点：5%、500 笔、30 天
依据笔者调查，核心触发条件为：商户在滚动 30 天内（从该日往前推 30 日计算），“退款+拒付”合计超过交易量的 5%（期间至少 500 笔交易，即分母，只要其中 25 笔出问题就触发），收单行或 PF 须在 72 小时内启动调查；确认为诈骗后，Mastercard 与 Maestro 的受理据称须立即封锁，没有警告函或整改期。退款也算进分子（与只看拒付的既有 ECP 计划不同），且拒付一经提出即计入，事后抗辩胜诉恐怕不会扣回。实际计算细节仍请以原文与收单行说明为准。
图一｜GLB 12772 的 72 小时调查流程（触发条件另含授权率骤降、GRIP 信函、MMSP 警示）
5% 并非唯一触发点；同份文件另列了授权成功率骤降（72 小时内至少 25 笔交易，核准率下降 50 个百分点以上或跌破 30%）、GRIP 调查信函与 MMSP 诈骗警示等条件，收单方也须每日检查 FLD 新增名单。由于卡组织例如 Mastercard 会提供 Merchant Scam & Risk Indicator（MSRI）的服务给发卡行，在进行授权时的风险参考，或是发卡行由于本身的持卡人通报了 Scam ，发卡行自己的风控系统中已标示该商户为高风险商户，降低其授权成功率。所以一旦收单行或代收代付机构端发现自己的商户的授权成功率降低许多，可能是该商户已经在 MSRI 中列为风险的商户，因此授权成功率骤降也是一个重要的触发点。
提醒各位代收代付机构的朋友们
目前从各方转述来看，GLB 12772 的义务主体不是商户，而是收单机构与 Payment Facilitator。若此理解无误，您旗下任何一个特约商户（sub-merchant）踩到触发条件，72 小时的调查时钟就是挂在您的墙上；调查漏做、封锁迟了，Mastercard 追究的对象很可能也是您。换句话说，商户的比率，恐怕就是您的合规风险。这里列出几种容易触发调查的商户类型：
|
■ 新商户（< 6 个月） 受理历史不足六个月适用最严格审查；上线入网前还须完成网站扫描（依转述 2026/1 已生效） |
■ 高退款业态 数字商品、在线课程、订阅制、免费试用转扣款——退款是日常，最容易逼近 5% |
|
■ 跨境电商／代购 争议与欺诈通报天然偏高，且消费者更容易“不认得”账单 |
■ 账单描述不一致 扣款显示名称与网站／品牌对不上，是消费者直接提出争议调单的第一大原因 |
图二｜平台旗下最容易触发调查的四类特约商户
建议各位开始准备
我们从各方信息来源看到的这些规定，建议大家主要执行的重点，可以从针对交易的合理性进行监控开始，继而进行判断，以让特约商户的交易可以在掌握中，不容易踩线。以下列出建议各位先行准备事项：
- 提供特约商户“退款+拒付”查询功能或 API（重点）
多数商户把退款与拒付分开看，根本不知道“合计 5%”这条线的存在。让商户能即时查到自己 30 天滚动的合计比率（以及与 5% 的距离），是成本最低、效果最直接的风险前移。商户自己先看到，就不会等您来封他。 - 建立平台端 30 天滚动监控与内部预警线
对全体商户以 30 天滚动视窗计算合计比率，在 5% 之前设内部预警（例如 3.5%），预警触发即先行辅导，而不是等 72 小时时钟开始跑。 - 制定 72 小时调查 SOP 与证据调阅清单
时限内要完成：调阅交易纪录、退款行为、拒付文件、网站内容、账单描述、商户往来纪录，并留存附时间戳的调查存证。先把流程与表单准备好，时限才守得住。 - 检视新商户入网流程（依转述已于 2026/1 生效）
据各方解读，新商户首笔交易前须完成网站扫描，需由 Mastercard 认可的 MMSP 执行网站扫描或协同执行。建议先确认您与 MMSP 的合作与扫描涵盖率是否到位。 - 把授权通过率异常纳入告警
单一商户 72 小时内授权通过率崩跌，常是盗刷测卡或诈骗舆情的第一个信号。这也是新规的正式触发条件之一。 - 更新特约商户协议条款
纳入调查配合义务、数据提供时限与立即终止条款，让 72 小时内的处置有协议依据。 - 向收单行调阅 GLB 12772 原文
公开信息皆为转述。部分退款如何计次、500 笔的精确定义等实施细节，请以原文与您收单行的说明为准。
信息来源：Mastercard 文件 GLB 12772（会员限定，发送对象为收单机构与 Payment Facilitator）；参数转引自 Mastercard 认可 MMSP Austreme 公开通告（austreme.com）及多家支付风控业者之一致解读。诈骗趋势背景引自《数字时代》对 Visa 亚太区风险长之专访报道（bnext.com.tw）。本文为合规提醒性质，具体条文以 Mastercard 原文为准。
