Unbounce는 2026년 10월 14일경 시작된 보안 사고로 타사 애플리케이션 연동 키가 노출됐을 가능성을 조사 중이라고 알렸다. 오랫동안 사용하지 않은 Unbounce 계정이 해당 애플리케이션과 연결돼 있었던 고객에게는 서비스별로 계정 활동을 확인하거나 자격 증명을 교체하라고 권고했다.

Unbounce는 외부 보안 전문가의 도움을 받아 조사하고 있으며, 현재 연동 키가 오용됐다는 증거는 없다고 밝혔다. 계정이 더 이상 활성 상태가 아니라면 Unbounce 내에서 별도로 조치할 필요는 없다.

  • Mailchimp: Mailchimp의 Integrations → Manage → Other connections에서 Unbounce 연결을 먼저 끊고, Unbounce에 사용했던 Mailchimp API 키를 새로 발급해야 한다. 10월 14일 이후 Unbounce 연동과 관련해 의심스러운 활동이 있었는지도 확인해야 한다.
  • HubSpot: Unbounce는 10월 20일 HubSpot 연동 키를 교체했다. 고객은 10월 14일부터 20일까지 HubSpot 계정에서 Unbounce 연동과 관련된 의심스러운 활동이 있었는지 확인해야 한다.
  • Salesforce: Unbounce는 10월 22일 Salesforce 연결 앱의 자격 증명을 교체해 기존 연결을 모두 끊었다. 고객은 Salesforce Setup → Connected Apps OAuth Usage에서 이전 Unbounce 연결 앱을 폐기하고, 10월 14일 이후 계정 활동을 확인해야 한다.
  • AWeber: Unbounce는 10월 22일 AWeber 앱 자격 증명을 교체해 기존 연결을 모두 끊었다. 고객은 10월 14일 이후 계정에서 의심스러운 활동이 있었는지 확인해야 한다.
  • Marketo, Keap (Infusionsoft), Insightly, Campaign Monitor: 이 연동은 고객 소유의 API 자격 증명을 사용하므로 Unbounce가 이를 교체할 수 없다. 고객은 해당 서비스에서 새 자격 증명을 발급하고 Unbounce에 사용하던 기존 자격 증명을 비활성화해야 한다. 10월 14일 이후 각 서비스의 계정 활동도 확인해야 한다.
  • Zapier 및 다른 OAuth 연동 앱: Unbounce는 10월 22일 기존 연동 토큰을 모두 폐기했다. 추가 조치는 필요하지 않다. 원하는 경우 Zapier의 My Apps에서 Unbounce를 제거할 수 있다.
  • Unbounce WordPress 플러그인: Unbounce는 10월 22일 플러그인의 기존 토큰을 모두 폐기했다. 추가 조치는 필요하지 않다. 원하는 경우 WordPress 관리자 화면에서 플러그인을 비활성화하고 제거할 수 있다.
  • API 키를 사용한 고객: Unbounce 내에서 별도로 조치할 필요는 없다.

Unbounce는 웹훅과 연동에서 일반적으로 사용하는 정상 트래픽의 IP 주소로 50.19.99.184, 63.186.16.150, 18.196.144.222, 18.195.113.15를 안내했다. 회사는 업무에 차질을 준 데 대해 유감을 표하고, 추가 정보가 필요하면 관련 문서를 확인하라고 안내했다.