KOSAI — AI 종목 리서치 · 인터랙티브 리포트 ↗ · 전체 종목
Sands Lab · IT·소프트웨어 · 코스닥 · 리포트 2026-06-19
2024년의 적자 심화를 딛고 2025년 영업손실 폭을 절반 이상 줄인 샌즈랩이 AI NDR 솔루션의 일본 출하 개시와 SI 수주 확대를 토대로 첫 지속 흑자를 모색하고 있으나, 분기 편중 구조와 영업적자 탈출 시점은 아직 검증 과제로 남아 있다.
샌즈랩은 2004년 설립(케이사인 그룹 계열)되어 2023년 2월 코스닥에 기술특례상장한 사이버 위협 인텔리전스(CTI) 전문기업이다. 주요 사업은 CTI 플랫폼·솔루션과 공공·기업 대상 SI(시스템통합) 두 축으로 구성된다. CTI 제품군은 AI 기반 위협인텔리전스 플랫폼 'CTX', AI NDR 솔루션 'MNX(Malware Network Shield)', 문서형 악성코드 탐지 'MDX', 엔드포인트 보안 'MAX', 딥페이크 탐지 서비스 '페이크체크(FakeCheck)'를 포함한다. 회사는 악성코드 약 20억 개와 사이버위협 분석 데이터 약 300억 건을 자체 보유하여 아시아 최대 수준의 CTI 데이터셋을 운용하고 있다. 글로벌 보안 위협정보 공유 협의체 CTA(Cyber Threat Alliance) 정회원으로 팔로알토 네트웍스·포티넷·시스코 등과 데이터를 교류하며, CTX AI 엔진은 구글 바이러스토탈에도 연동돼 있다. SI 부문은 한국인터넷진흥원(KISA) 등 공공기관이 발주하는 사이버보안 AI 데이터셋 구축 사업을 수주·수행하며, 2024년 이후 전체 매출의 다수 비중을 차지하게 됐다. 해외 진출은 일본이 선도하며, 파이오플랫폼·PSI와의 총판 계약을 통해 MNX를 일본 중소·중견기업(SMB) 시장에 공급 중이다. CTX 서비스는 OpenAI GPT 스토어 CTI 분야에도 최초로 입점하여 글로벌 구독 매출 확대를 추진 중이다. 개발 중인 사이버보안 특화 sLLM '샌디(SANDY)'와 MS와의 보안 협력을 통해 AI 보안 플랫폼으로의 진화를 병행하고 있다.
2022년에는 연결 매출 93.0억원, 영업이익 20.9억원(OPM 22.5%), 순이익 21.6억원으로 설립 이후 최고 수익성을 기록했다. 그러나 상장 직후인 2023년부터 사옥 건립·R&D 투자·인력 확충 등으로 비용이 크게 늘면서 매출 117.2억원에도 불구하고 영업손실 8.8억원(OPM -7.5%)으로 전환했으며, 영업현금흐름도 -80.3억원으로 급락했다. 2024년에는 매출이 83.0억원(-29% YoY)으로 급감하고 영업손실이 37.1억원(OPM -44.7%)으로 확대되며 구조적 위기 국면에 접어들었다. 2025년은 실질적인 반등이었다. 연결 매출 116.1억원(+40%)으로 회복하고 영업손실은 17.7억원(OPM -15.2%)으로 52% 급감했으며, 지배주주 귀속 순손실도 4.65억원으로 대폭 축소됐다. 영업현금흐름도 3.25억원으로 플러스 전환되어 운영 현금 창출 능력이 복원됐다. 분기별로는 Q4 집중 현상이 두드러졌다. 2025Q4 매출 63.9억원·영업이익 25.3억원이 연간 손익의 대부분을 이끌었고, Q1(7.1억원)·Q3(8.0억원)은 각각 영업손실 14~15억원을 기록했다. 2026Q1에는 매출 18.3억원으로 전년 동기(7.1억원) 대비 약 157% 급증하고 영업손실은 10.1억원으로 축소되어, 비수기 분기에서도 구조 개선이 감지되고 있다. 재무 건전성 측면에서 2025년 말 부채비율 6.9%, 자기자본 542.7억원(지배주주 540.2억원)으로 무차입에 가까운 안정적 재무구조를 유지 중이다. 2025 회계연도에 대해 상장 이후 최초의 주당 150원 현금배당이 2026년 3월 주주총회에서 의결됐다(DART 공시, 2026-03-23).
글로벌 사이버 위협 인텔리전스(CTI) 시장은 2025년 약 69~93억 달러 규모로 추산되며, 2033~2034년까지 연평균 13~18% 수준의 높은 성장률이 전망된다. AI 기반 공격의 정교화, 랜섬웨어 확산, 각국 정부의 사이버보안 의무화 강화가 핵심 수요 동인이다. 특히 AI가 구동되는 IoT 기기·산업 로봇·자율주행차 등 '피지컬 AI' 생태계 확산으로 내부망 침투형 공격이 기하급수적으로 늘면서 AI 기반 NDR 솔루션에 대한 수요가 빠르게 확대되고 있다. 아시아태평양 지역은 디지털화 가속과 사이버 위협 증가로 글로벌 중 가장 빠른 성장세가 예측되며, 일본은 규제 강화와 SMB 시장의 보안 투자 확대로 한국 보안 기업들의 진출 교두보로 부상하고 있다. 경쟁 지형은 Cisco, IBM, CrowdStrike, Palo Alto Networks 등 글로벌 대형 벤더가 시장을 주도하는 가운데, 아시아 전문 중소형 벤더 간 틈새 경쟁도 치열하다. 샌즈랩은 아시아 최대 수준의 악성코드 데이터셋과 AI 자동화 효율성을 차별화 포인트로 내세우며 국내 공공수요와 일본 수출을 병행하는 투트랙 전략을 구사하고 있으나, 브랜드 인지도와 영업망 구축에서는 글로벌 대형사와의 격차가 상당하다.
| 주가 | ₩3,985 |
|---|---|
| 시가총액 | 608억원 |
| PER | 153.3 |
| PBR | 1.20 |
| ROE | 0.8% |
2026년부터 일본 MNX 수출 매출이 본격 인식된다. 2025년 말 체결된 1,000대 공급 계약이 장부에 반영되기 시작하며, 2·3차 추가 공급도 단계적으로 예정되어 있다. 공공 SI 사업 측면에서는 2025년 시범사업(규모 약 50억원)이 2026년 본사업으로 전환하면서 약 150억원 규모로 3배 확대될 것이라는 업계 보도가 있다(2026년 1월 MTN 보도). MS Windows Security Copilot과의 협력에서 2026년 내 구체적 성과가 기대된다는 증권사 의견이 있으며(키움증권, 2026년 1월), 이 역시 잠재 매출 창출 경로 중 하나다. CTX 서비스 측면에서는 2026년 중 중소기업 시장 확대와 클라우드 전용 서비스 출시가 예정돼 있어 구독형 매출 기반 확충이 기대된다. MNX의 클라우드·SaaS 버전 출시와 사이버보안 특화 sLLM '샌디'의 기업 납품도 2026~2027년 중장기 성장 축으로 준비 중이다. 딥페이크 탐지 서비스 '페이크체크'는 2026년 영상·음성 등으로 탐지 범위를 확장할 계획이다. 회사는 2025년 3월 투자자 설명회에서 직접 영업의 한계를 인정하고 파트너사 기반 영업으로의 전환을 공식화하여 매출 확대 방식 자체의 변화를 선언했다.
최근 이익 기준 지배주주 귀속 EPS는 26원으로 근소하게 흑자 영역에 진입했으며, 주당순자산(BPS)은 3,319원이다. 현재 주가는 BPS 대비 소폭 프리미엄 구간에서 거래되고 있어, 이 초과분은 흑자전환 기대감과 AI 보안 성장 스토리에 대한 프리미엄이 일정 수준 반영된 결과로 볼 수 있다. 이익 기반이 아직 취약하고 분기 편중 구조가 뚜렷한 만큼, 하반기 SI 수주·일본 수출 가시화 이전까지 주가는 실적 불확실성에 따라 큰 폭으로 움직일 수 있다. 배당 측면에서는 2025 회계연도에 주당 150원의 첫 현금배당이 의결됐으나, 이익 기반이 안정화되기 전까지 향후 배당의 연속성은 추가 확인이 필요하다. 결국 순자산 대비 프리미엄의 정당성은 일본 NDR 반복 공급 확대, 구독형 CTX 매출 성장, 분기 편중 완화라는 세 가지 실행 지표에 달려 있으며, 이 지표들의 진행 상황이 시장 평가 방향을 결정할 것이다.
2025년 말 1,000대 1차 출하 이후 2026년부터 수출 매출이 본격 장부 반영된다. 파이오플랫폼·PSI 등 현지 총판망을 통해 일본 SMB 시장을 공략하고 있으며, 2·3차 추가 공급 계약이 이미 예정된 상태다. 샌즈랩은 단순 수출을 넘어 클라우드·SaaS 형태로의 확장을 병행 추진하며 반복 공급 수익 구조를 구축하고 있다. 일본 레퍼런스를 발판으로 아시아 전체 시장 진출로 이어질 경우 현재 매출 규모 대비 유의미한 성장 여력이 존재한다.
2025년 매출 116.1억원(+40%)·영업손실 52% 축소·영업현금흐름 플러스 전환은 뚜렷한 회복 시그널이다. 특히 전통적 비수기인 2026Q1 매출이 18.3억원으로 전년 동기 대비 약 157% 급증해 계절성 완화 가능성을 처음으로 제시했다. 영업손실도 전년 동기(-14.5억원) 대비 -10.1억원으로 줄어 비수기 적자 폭 축소 추세가 확인됐다. 이 기조가 유지된다면 연간 흑자전환 시기를 앞당길 가능성이 있다.
AI 탑재 IoT 기기·자율주행차·산업 로봇의 확산으로 내부망 침투형 사이버 위협이 기하급수적으로 증가하고 있다. 샌즈랩이 개발한 초소형 경량화 MNX는 온디바이스 AI 환경에 최적화된 보안 솔루션으로 포지셔닝된다. 글로벌 CTI 시장이 연 13~18% 이상 성장하는 가운데 아시아태평양이 최속 성장 지역으로 꼽혀 샌즈랩의 지리적 포지셔닝과 맞아떨어진다. AI 기반 위협 탐지 자동화가 업계 표준으로 자리잡으면서 전문 CTI 데이터셋과 AI NDR에 대한 수요도 꾸준히 확대되고 있다.
2023~2025년 3년 연속 영업적자를 기록했으며, 2026Q1도 -10.1억원의 영업손실이 이어졌다. 연간 매출의 절반 이상이 Q4에 집중되는 구조는 상반기 실적 가시성을 극도로 낮추고 투자자 불확실성을 확대한다. Q1~Q3에는 고정비(인건비·R&D비) 대비 매출이 구조적으로 부족해 상반기 적자가 반복된다. 일본 수출과 SI 사업이 예상대로 집행되지 않을 경우 적자 국면이 연장될 위험이 크다.
2023년 상장 당시 샌즈랩은 2025년 매출 309억원, 영업이익률 45% 달성을 제시했다. 그러나 실제 2025년 연결 매출은 116.1억원, 영업이익률은 -15.2%에 그쳐 가이던스와의 괴리가 상당하다. 이는 CTI 시장 개화 속도가 당초 예측보다 느렸고, 직접 영업에서 파트너 영업으로의 전환에 시간이 소요됐음을 시사한다. 향후 회사가 제시하는 전망치에 대한 시장 신뢰도를 회복하려면 구체적이고 반복적인 실적 확인이 수반되어야 한다.
2022~2023년 전체 매출의 95% 이상을 차지하던 CTI 제품 매출 비중이 2024년 이후 SI 사업 급증으로 크게 줄어들었다. SI는 프로젝트형 수주 사업으로 반복성이 낮고 마진 구조가 구독형 CTI에 비해 열위에 있다. 상장 당시 비전이었던 '데이터 중심·고수익성 사업 모델'이 사실상 공공 SI 의존도 심화로 변질되고 있다는 우려가 있다. CTI 구독 매출의 비중을 회복·확대하지 못할 경우 중장기 마진 개선 경로가 제약될 수 있다.
샌즈랩은 20년간 축적한 AI 기반 사이버위협 인텔리전스 데이터와 기술력을 바탕으로, 글로벌 CTI 시장의 구조적 성장기에 전문 플레이어로 자리를 잡아가고 있다. 2024년의 적자 심화 국면에서 2025년 매출 회복(+40%)과 영업손실 폭 대폭 축소라는 전환점을 만들었으며, 2026Q1 비수기 매출의 급증은 사업 구조 개선의 초기 신호로 읽힌다. 일본 NDR 수출 본격화, 대형 SI 사업 규모 확대, MS 협력 가시화 등이 동시에 진행된다면 2026년 연간 흑자전환 가능성도 배제할 수 없다. 그러나 상장 당시 제시한 성장 가이던스와의 현저한 괴리, Q4 편중 매출 구조, CTI 구독 매출 비중 하락이라는 구조적 과제는 아직 해소되지 않은 점을 균형 있게 고려해야 한다. 부채비율 6.9%의 안정적 재무구조는 중장기 투자 여력을 제공하나, 이익 창출 속도가 반드시 동반되어야 한다. 글로벌 대형 보안 벤더와의 경쟁 격화, 프로젝트 수주 의존성, AI 기술 교체 주기 가속도 중장기 리스크로 상존한다. 결국 샌즈랩의 사업 가치는 일본 NDR 반복 공급 물량 확대 속도, 구독형 CTI 매출 회복 여부, 분기 편중 구조의 완화 정도라는 세 가지 핵심 변수가 수렴하는 방향에 달려 있으며, 이를 지속적으로 점검하는 것이 필요하다.
English version
Having narrowed its operating losses by more than half in 2025 following a difficult 2024, SandsLab is pursuing its first sustained profitability through initial Japan NDR shipments and expanded SI contracts, though its heavily Q4-loaded revenue structure and an unconfirmed breakeven timeline remain key uncertainties.
SandsLab (est. 2004; subsidiary of KSign Group) was listed on KOSDAQ in February 2023 via the technology-exception route, specializing in Cyber Threat Intelligence (CTI). Its business is organized into two pillars: CTI platforms/solutions and SI (System Integration) project services for public institutions and enterprises. The CTI product portfolio includes the AI-based threat intelligence platform 'CTX', AI NDR solution 'MNX (Malware Network Shield)', document malware detector 'MDX', endpoint security 'MAX', and the deepfake detection service 'FakeCheck'. The company manages approximately 2 billion malware samples and 30 billion cyberthreat data records, constituting one of Asia's largest CTI datasets. As a full member of the Cyber Threat Alliance (CTA)—alongside Palo Alto Networks, Fortinet, and Cisco—SandsLab exchanges threat data globally, and its CTX AI engine is integrated with Google VirusTotal. The SI segment executes government-commissioned cybersecurity AI dataset projects (primarily from KISA), which have accounted for a large share of revenues since 2024. Japan is the lead overseas market, with MNX being distributed to Japanese SMBs through distribution agreements with PIO Platform and PSI. CTX is also listed on the OpenAI GPT Store's CTI category, targeting global subscription revenue. The company is developing a cybersecurity-specialized sLLM 'SANDY' and collaborating with Microsoft to evolve into a broader AI security platform.
In 2022, SandsLab posted its highest-ever profitability with consolidated revenue of KRW 9.3B, operating income of KRW 2.1B (OPM 22.5%), and net income of KRW 2.2B. Following the 2023 IPO, costs surged from HQ construction, R&D ramp-up, and headcount expansion, pushing the company to an operating loss of KRW 0.88B (OPM -7.5%) despite revenue of KRW 11.7B; operating cash flow deteriorated sharply to -KRW 8.0B. In 2024, revenues fell steeply to KRW 8.3B (-29% YoY) and operating losses widened to KRW 3.7B (OPM -44.7%), reflecting a structural trough. 2025 marked a genuine inflection: consolidated revenues recovered to KRW 11.6B (+40%), operating losses narrowed 52% to KRW 1.77B (OPM -15.2%), and the controlling-interest net loss compressed to KRW 0.46B. Operating cash flow also turned positive at KRW 0.33B, restoring operational cash generation. Quarterly results revealed extreme Q4 concentration—2025Q4 alone posted revenue of KRW 6.4B and operating income of KRW 2.5B, accounting for most of the annual swing, while Q1 (KRW 0.71B) and Q3 (KRW 0.80B) each carried operating losses of KRW 1.4–1.5B. In 2026Q1, revenue surged to KRW 1.83B (+157% YoY), with operating losses narrowing to KRW 1.0B, suggesting structural improvement even in weak off-peak quarters. At end-2025, the debt ratio stood at 6.9% with equity of KRW 54.3B (controlling interest KRW 54.0B), reflecting a near-zero-leverage structure. For FY2025, the company declared its inaugural cash dividend of KRW 150 per share at the March 2026 AGM (DART filing, 2026-03-23).
The global CTI market is estimated at USD 6.9–9.3 billion in 2025 and projected to grow at a CAGR of 13–18% through 2033–2034, driven by the escalating sophistication of AI-enabled attacks, widespread ransomware, and tightening government cybersecurity mandates. The proliferation of 'Physical AI'—AI-driven IoT devices, industrial robots, and autonomous vehicles—is creating an exponential rise in internal-network intrusion threats, rapidly expanding demand for AI-based NDR solutions. Asia-Pacific is forecast as the fastest-growing region globally; Japan in particular is emerging as a beachhead for Korean security vendors owing to regulatory tightening and rising SMB security investment. The competitive landscape is dominated by global behemoths including Cisco, IBM, CrowdStrike, and Palo Alto Networks, with intense niche competition among regional mid-size specialists. SandsLab differentiates through its Asia-leading malware dataset scale and AI automation efficiency, pursuing a two-track strategy combining domestic public-sector demand with Japan exports, though it lags materially behind global leaders in brand recognition and sales network depth.
| Price | ₩3,985 |
|---|---|
| Market cap | ₩0.06T |
| P/E | 153.3 |
| P/B | 1.20 |
| ROE | 0.8% |
From 2026, Japan MNX export revenues begin to be fully recognized. The 1,000-unit supply contract signed in late 2025 is now being recorded, with 2nd and 3rd supply tranches planned in sequence. On the domestic SI front, industry reports (MTN, January 2026) suggest the government cybersecurity project will transition from a KRW ~5B pilot in 2025 to a KRW ~15B main project in 2026—a threefold scale-up. A sell-side analyst at Kiwoom Securities indicated that tangible results from the Microsoft Windows Security Copilot collaboration are expected within 2026, representing another potential revenue pathway. For CTX, the company has planned an SMB market expansion and launch of a dedicated cloud service version in 2026 to build recurring subscription revenues. Cloud and SaaS variants of MNX, alongside enterprise deployments of the cybersecurity-specialized sLLM 'SANDY', are being prepared as medium-term growth drivers for 2026–2027. FakeCheck is scheduled to expand detection scope to video and audio in 2026. At its March 2025 IR event, the company formally acknowledged limitations of direct-only sales and pivoted to a partner-led commercial strategy.
On a recent-earnings basis, controlling-interest EPS stands at KRW 26, marginally positive, while book value per share (BPS) is KRW 3,319. The current share price trades at a modest premium to book value, implying that the excess over net assets reflects some degree of market expectation for a profitability inflection and an AI security growth premium. Given the fragile profit base and extreme Q4 revenue skew, the stock may remain subject to material volatility tied to execution uncertainty before H2 SI and Japan export visibility improves. On dividends, the company declared an inaugural KRW 150/share cash dividend for FY2025, but sustainability of future dividends before earnings stabilize warrants monitoring. Ultimately, the justification for the premium over book value will depend on three execution metrics: Japan NDR repeat supply growth, recurring CTX subscription revenue expansion, and a reduction in quarterly revenue concentration—the trajectory of which will drive the direction of market re-rating.
Following the initial 1,000-unit shipment in late 2025, export revenues began full recognition from 2026. SandsLab is targeting Japanese SMBs through local distributors PIO Platform and PSI, with 2nd and 3rd supply tranches already contracted. The company is simultaneously developing cloud and SaaS delivery options to build a recurring revenue base beyond one-time hardware exports. If Japan references can anchor a broader Asia expansion, meaningful upside over current revenue levels is plausible.
The 2025 recovery to KRW 11.6B revenue (+40%), a 52% narrowing of operating losses, and a return to positive operating cash flow are compelling improvement signals. Notably, the traditionally weak 2026Q1 posted revenue of KRW 1.83B (+157% YoY), providing the first evidence of a possible easing of seasonal concentration. The Q1 operating loss also narrowed to KRW 1.0B from KRW 1.45B in Q1 2025, confirming a trend of shrinking off-peak deficits. If this trajectory holds, the annual breakeven timeline could accelerate.
The proliferation of AI-embedded IoT devices, autonomous vehicles, and industrial robots is exponentially increasing internal-network intrusion threats. SandsLab's compact, lightweight MNX is positioned as the on-device security solution optimized for resource-constrained AI hardware environments. With the global CTI market growing at 13–18%+ CAGR and Asia-Pacific cited as the fastest-growing region, the company's geographic positioning aligns well with structural macro tailwinds. The industry-wide shift toward AI-based automated threat detection continues to sustain growing demand for specialized CTI datasets and AI NDR solutions.
The company posted consecutive operating losses from 2023 through 2025, with 2026Q1 continuing at -KRW 1.0B. The heavy concentration of revenues in Q4 sharply limits first-half earnings visibility and amplifies investor uncertainty. During Q1–Q3, revenues are structurally insufficient to cover fixed costs (labor and R&D), making H1 losses cyclically unavoidable under the current model. Should Japan exports and SI project execution fall short of plan, the loss phase could be prolonged significantly.
At its 2023 IPO, SandsLab projected 2025 revenue of KRW 30.9B and an operating margin of 45%. Actual 2025 consolidated results came in at KRW 11.6B in revenue and OPM of -15.2%—a substantial miss on both metrics. This reflects the slower-than-anticipated maturation of the domestic CTI market and the time required to pivot from direct to partner-led sales. Restoring market confidence in management's forward guidance will require a sustained track record of concrete, repeatable results.
The share of high-margin CTI product revenues, which exceeded 95% of total sales in 2022–2023, fell sharply after 2024 as SI project work surged. SI is project-based with low revenue recurrence and structurally inferior margins compared to subscription-based CTI. This represents a drift away from the 'data-centric, high-margin business model' presented at the IPO, raising concerns that the revenue mix has become overly dependent on lumpy public-sector contracts. Failure to restore and grow CTI subscription revenue share would constrain the medium-term path to margin expansion.
SandsLab is positioning itself as a specialist player in the structurally expanding global CTI market, leveraging 20 years of accumulated AI-based cyberthreat intelligence data and technology. The company created a genuine inflection in 2025—recovering revenues by 40% and sharply narrowing losses after a trough in 2024—and the surge in 2026Q1 off-peak revenues provides early evidence of structural improvement. If Japan NDR exports, expanding SI project awards, and the Microsoft Copilot collaboration progress in parallel, a return to annual profitability in 2026 is not implausible. That said, the material gap between IPO guidance and actual results, the heavily Q4-concentrated revenue structure, and the declining share of high-margin CTI subscription revenues remain unresolved structural challenges that must be weighed equally. The near-zero-leverage balance sheet provides meaningful capacity for continued investment but must be matched by accelerating earnings generation. Intensifying global competition, project-award dependency, and the accelerating AI technology refresh cycle are additional medium-to-long-term risk factors. Ultimately, the business case hinges on the pace of Japan NDR repeat supply growth, a recovery in recurring CTI subscription revenues, and how quickly the company can reduce its extreme quarterly revenue concentration—three converging variables that warrant continuous monitoring.
본 리포트는 공시(DART)·시장 데이터(KRX) 기반의 AI 생성 정보 자료이며 투자 권유가 아닙니다.
This report is AI-generated from public disclosures (DART) and market data (KRX) for informational purposes only. It is not investment advice.
데이터 기준 2026-08-07 · KOSAI
(full report)