Rapid7 (RPD) 밸류에이션: 성장 붕괴 뒤 현금흐름 턴어라운드

Rapid7, Inc. (RPD) 투자 분석

기준일은 2026년 10월 3일이며, 미국 시장의 마지막 종가인 2026년 10월 2일 $12.19를 현재가로 사용했다. 결론부터 말하면 Rapid7은 더 이상 전형적인 고성장 SaaS로 보면 안 된다. 현재 핵심은 매출 성장보다 Core ARR의 바닥 확인, 비핵심 사업 축소, 15%대 FCF 마진 유지, 2027년 전환사채 상환 이후에도 현금창출력을 유지할 수 있는지다.

1. 기업 기본 분석

기업의 본질: Rapid7은 기업의 취약점과 공격 노출을 찾아 우선순위화하고, 실제 위협을 탐지·대응하는 MDR/Detection & Response까지 연결하는 구독형 보안 운영 플랫폼 기업이다.

2025년 매출은 약 $860M이며, 제품 구독 매출이 약 96.7%, 서비스 매출이 약 3.3%였다. 반복 매출 비중은 약 96%다. 북미 매출이 약 75%, 북미 외 지역이 약 25%다. 고객은 11,500개 이상이며 중견기업부터 대기업 보안팀까지 분산되어 있다.

현재 경영진이 집중하는 두 축은 Detection & Response와 Exposure Management다. 두 핵심 영역이 전체 ARR의 80% 이상이며, Detection & Response만 약 55%다. 나머지 비핵심 제품은 20% 미만이고 감소하고 있다.

경제적 해자는 중간 수준으로 본다. Metasploit과 Rapid7 Labs가 축적한 취약점·공격 데이터, 25년의 보안 연구 경험, MDR 운영 인력과 고객 신뢰, Exposure와 Detection을 한 플랫폼에서 연결하는 데이터 루프가 강점이다. 그러나 CrowdStrike, Palo Alto Networks, Microsoft 같은 대형 플랫폼 사업자보다 R&D와 영업 규모가 작고, Exposure 영역에서는 Qualys와 Tenable, Detection에서는 CrowdStrike·SentinelOne·Microsoft가 강하다. 따라서 넓은 해자라기보다 특화된 데이터·서비스·중견시장 실행력을 기반으로 한 해자에 가깝다.

가격 결정력은 보통이다. 고객은 가격 자체보다 서비스 품질, 대응력, AI 기능과 통합성에 더 민감하다고 경영진은 설명하지만, 사이버보안 플랫폼 통합 경쟁이 강해 공격적인 가격 인상은 어렵다. 원가의 핵심은 인건비, R&D, 클라우드 인프라, MDR/SOC 인력이다. 물리적 CapEx는 낮은 자산경량형 모델이다.

이 회사가 이기는 경우는 Exposure→Threat Intelligence→Detection/Response를 하나의 워크플로로 연결하고, MDR의 사람 중심 서비스와 AI를 결합해 중견·대기업에서 대형 플랫폼보다 좋은 비용 대비 효과를 제공할 때다. 반대로 질 수 있는 이유는 보안 도구 통합이 Microsoft/Palo Alto/CrowdStrike 중심으로 진행되고, Rapid7의 Exposure 제품 전환이 늦거나 Detection 성장도 둔화되는 경우다.

2. 실적·성장률·재무 상황

단위는 USD million, EPS는 달러다. FCF는 회사가 사용하는 정의를 우선 적용했다.

성장률은 뚜렷하게 둔화됐다. 2021~2022년 30%에 가까웠던 매출 성장률이 2025년 1.9%, 최근 TTM 0% 수준으로 떨어졌다. 2026년 회사 가이던스도 매출 약 -2%다.

마진은 구조적으로 개선됐다. 2021~2023년 큰 영업적자에서 2024년 이후 GAAP 영업흑자로 전환했고 FCF 마진은 15% 안팎이다. 다만 2026년 상반기에는 MDR/SOC 인력과 클라우드 사용 증가로 매출총이익률이 압박받았다.

현금흐름의 질은 보통 이상이지만 매우 깨끗하다고 보기는 어렵다. 2025년 주식보상비용이 약 $104M으로 회사 정의 FCF $130M에 비해 매우 크다. 현금 유출은 아니지만 주식 수가 계속 늘어나는 경제적 비용이다. 현재 주식 수는 전년 대비 약 4.6% 증가했다. 배당은 없고 의미 있는 자사주 매입도 없다.

부채는 즉각적인 유동성 위기 수준은 아니지만 반드시 봐야 한다. 2027년 3월 만기 전환사채 원금이 $600M이며, 2026년 6월 말 현금·단기투자자산이 $702.6M이고 미사용 리볼버도 있어 상환 여력은 있다. 다만 상환하면 현금 쿠션과 이자수익이 줄어든다. 장기적으로는 순부채보다도 상환 후 FCF와 희석률이 중요하다.

경기침체 방어력은 일반 소프트웨어보다 낫지만 완전한 방어주는 아니다. 보안 지출은 필수성이 높고 반복 매출이 96%지만 신규 로고와 업셀은 IT 예산에 영향을 받는다. 특히 Rapid7은 산업 자체보다 성장률이 낮아 경기보다 회사 고유의 실행 문제가 더 중요한 상태다.

3. 최근 컨퍼런스콜과 가이던스

최근 실적 발표는 2026년 8월 10일의 Q2 2026이다. 매출은 $210.9M, 비GAAP EPS는 $0.44로 시장 기대치 약 $208.2M와 $0.35를 웃돌았다. 하지만 ARR은 $824M으로 전년 대비 2% 감소했다.

Q2 주요 지표는 다음과 같다.

• ARR $824M, -2% YoY
• 매출 $210.9M, -1.5% YoY
• GAAP 영업이익 $3.0M
• 비GAAP 영업이익 $28.9M, 마진 13.7%
• GAAP EPS $0.09, 비GAAP EPS $0.44
• 영업현금흐름 $37.0M, FCF $31.9M
• 현금·단기투자 $702.6M

새 CEO Wael Mohamed의 메시지는 매우 명확했다. “더 넓게가 아니라 Detection & Response와 Exposure Management에서 더 깊게 가겠다”는 방향이다. 핵심 플랫폼은 ARR의 80% 이상이며 전년 대비 약 1% 성장했다. Detection & Response는 ARR의 약 55%이고 약 5% 성장했다. 반면 비핵심 사업은 20% 미만이지만 감소하면서 전체 ARR을 끌어내리고 있다.

Q3 가이던스는 ARR 약 $812M, 매출 $208~210M, 비GAAP 영업이익 $34~36M, 비GAAP EPS $0.44~0.47이다. 회사는 핵심 사업 ARR이 전분기 대비 대체로 평평하고 비핵심 사업 감소가 총 ARR을 낮출 것으로 봤다.

FY2026 가이던스는 매출 $837~841M, 비GAAP 영업이익 $129~133M, EPS $1.78~1.83, FCF 약 $130M이다. 이전 가이던스 대비 매출과 FCF는 사실상 유지됐지만 영업이익과 EPS는 크게 상향됐다. Q4 비GAAP 영업이익률 목표는 약 20%다. 즉 성장 가이던스는 약하지만 수익성 가이던스는 좋아졌다.

경영진은 약 12% 인력 구조조정을 진행했고 비용 절감분 일부를 핵심 제품과 AI, 엔지니어링에 재투자하고 있다. 2027년에는 ARR 기저가 더 낮아지고 2027년 전환사채 상환 후 이자수익도 줄지만 FCF는 개선할 수 있다고 밝혔다.

가격 민감도는 현재 고객 대화의 핵심 이슈가 아니라 서비스 품질과 AI 기능, 보안 운영 결과라고 설명했다. SaaS이므로 고객 재고라는 개념은 없고, 이에 해당하는 선행지표는 갱신률, 신규 로고, ARR/customer, 업셀, 플랫폼 통합에 따른 벤더 축소다. 공급 측 핵심은 클라우드 인프라와 SOC·보안 인력이다.

애널리스트 질문은 비핵심 제품 종료 속도, 영업조직 구조조정이 매출에 미치는 영향, Exposure 제품의 경쟁력, ARR 가이던스의 보수성, 핵심 사업이 언제 다시 성장할지에 집중됐다. 경영진 톤은 낙관적이라기보다 신중하지만 실행 지향적이다. 현재 ARR 궤적이 충분하지 않다는 점을 인정하면서 비용·제품 포커스를 동시에 바꾸고 있다.

투자자가 컨콜에서 반드시 봐야 할 시그널은 한 문장으로 정리하면 이렇다. “총 ARR 감소보다 더 중요한 것은 80% 이상을 차지하는 Core ARR이 언제 플러스 성장으로 돌아서느냐”다.

4. 핵심 키포인트와 선행지표

2026년 전 세계 정보보안 지출은 두 자릿수 성장 전망인데 Rapid7의 매출은 감소하고 있다. 따라서 현재 가장 중요한 사실은 시장 자체가 나쁜 것이 아니라 Rapid7의 제품 믹스와 실행이 산업 성장률을 따라가지 못하고 있다는 점이다.

외부 수요 환경은 강하다. 2025년 실제 공격에 악용된 고위험 취약점이 전년 대비 105% 증가했고, 2026년 Q2에는 high/critical 취약점 공개가 전년 대비 두 배 수준으로 늘었다. AI가 취약점 발견과 공격 자동화를 동시에 빠르게 만들고 있어 Exposure 우선순위화와 MDR 수요에는 구조적 순풍이다.

가장 중요한 3가지 지표는 ① Core ARR 성장률, ② Detection & Response 성장과 Exposure Management의 전환, ③ FCF 마진과 주식희석률이다. 산업 수요는 이미 충분하다. 이제 회사가 시장 수요를 매출과 ARR로 가져오는지가 문제다.

5. 산업 트렌드·내러티브·피터 린치식 스토리

사이버보안 시장의 핵심 트렌드는 플랫폼 통합, AI 기반 공격 자동화, 공격 표면 확대, 취약점 폭증, MDR 수요 증가다. 기술적으로 Rapid7의 Exposure + Detection + Threat Intelligence 통합 전략은 산업 방향과 잘 맞는다. 2026년 10월에는 Rapid7 Intelligence라는 통합 위협 인텔리전스 엔진도 공개해 AI와 위협 데이터를 Exposure·MDR 제품에 직접 연결하기 시작했다.

문제는 숫자다. 산업이 두 자릿수 성장하는 상황에서 Rapid7의 2026년 매출 가이던스는 약 -2%다. 따라서 시장이 Rapid7에 부여하는 내러티브는 더 이상 “고성장 사이버보안”이 아니라 “성장을 희생하고 포트폴리오를 정리하면서 현금흐름을 극대화한 뒤 핵심 제품만 다시 성장시키는 턴어라운드”다.

피터 린치식으로 보면 이 회사는 고성장주보다 턴어라운드주에 가깝다.

• 이 회사의 스토리: 시장은 Rapid7을 구조적으로 쇠퇴하는 보안업체처럼 평가하지만, 비핵심 ARR을 의도적으로 축소하는 동안 80% 이상의 핵심 사업을 다시 성장시키고 15~20%의 현금·영업 마진을 유지하면 멀티플이 정상화될 수 있다.
• 스토리가 맞으려면 필요한 조건: Core ARR이 2027년에 최소 플러스 성장으로 전환, Detection 성장 지속, Exposure 안정화, FCF $130M 이상 유지, 희석률 하락.
• 스토리가 깨지는 신호: Core ARR까지 감소, Detection 성장률 0% 접근, ARR/customer 지속 하락, 매출총이익률 추가 악화, 2027년에도 매출 감소, 주식 수가 매년 4~5% 이상 증가.
• 분기마다 확인할 것: Core ARR, D&R ARR, Exposure 신규/업셀, ARR/customer, FCF, 비GAAP 영업마진, SBC와 주식 수, 2027년 사채 상환 후 현금.

규제 측면에서는 보안 의무·공시 강화가 수요에는 순풍이나, 데이터 규제와 AI 거버넌스는 비용과 책임을 높일 수 있다. 금리 하락은 소프트웨어 멀티플에는 긍정적이지만 Rapid7은 현금 이자수익이 줄어드는 효과도 있다. 원자재 영향은 거의 없고, 환율은 매출의 약 25%가 북미 밖에서 발생하므로 일부 영향을 준다.

6. 현재 주가와 밸류에이션

2026년 10월 2일 종가 기준 현재 주가는 $12.19, 시가총액 약 $822M, EV 약 $1.08B다. 주식 수는 약 67.4M주다.

• P/E 약 39.5배
• Forward P/E 약 6.5배
• P/S 약 1.0배
• EV/Sales 약 1.25배
• EV/EBITDA 약 18.4배
• P/B 약 4.1배
• 회사 정의 FCF 기준 FCF Yield 약 15.6%
• TTM 매출 성장률 약 +0.1%
• TTM GAAP EPS 성장률 약 -29%
• 조정 EBITDA는 2026년 상반기 YoY 약 -18%
• GAAP 영업이익률 약 1.6%
• 순이익률 약 2.4%
• ROE 약 14.0%
• ROIC 약 2.6%

경쟁사 비교:

Rapid7은 동종사 대비 극단적으로 싸다. 그러나 할인 이유도 명확하다. ARR과 매출이 줄고 있고, GAAP 마진과 ROIC가 낮으며, 부채와 희석 부담이 있고, 플랫폼 경쟁에서 규모가 작다. 따라서 낮은 멀티플 자체만으로 싸다고 볼 수 없지만, Core ARR이 안정화된다면 현재 할인 폭은 과도할 가능성이 있다.

과거 EV/Sales는 2024년 약 3.7배, 2025년 말 약 1.8배, 현재 약 1.25배로 내려왔다. 현재는 상장 후 밸류에이션 하단에 가깝지만 성장률 역시 상장 후 가장 약한 구간이다.

7. 적정 주가 산정

기본 가정은 FY2026 매출 $839M, 비GAAP EPS 약 $1.80, 회사 정의 FCF 약 $130M, 정상화 조정 EBITDA 약 $155~165M, 순부채 약 $0.26B, 정상화 희석 주식 수 70~75M주다.

DCF 할인율을 12.5%로 높게 잡은 이유는 소형주, 성장 둔화, 부채 만기, 제품 실행 리스크 때문이다. 일반적인 대형 SaaS 수준의 낮은 할인율을 적용하면 가치를 과대평가하기 쉽다. 또한 FCF가 좋아 보이지만 SBC가 크므로 장기 주당가치 계산에는 희석을 반영했다.

종합 결과:

• 공격적 적정 주가: $22~26
• 기본 적정 주가: $16~19
• 보수적 적정 주가: $11~14
• 안전마진을 반영한 관심 매수가: $9.5~11.5
• 성장 회복 확인 없이 손실 가능성이 커지는 고평가 구간: $24 이상

기본 적정가 중간값 $17.5는 현재가 $12.19 대비 약 +44%다. 다만 이것이 하방이 작다는 뜻은 아니다. Core ARR까지 무너지면 $7~8 수준의 부정 시나리오도 가능하다.

8. 6개월·1년·3년·5년 시나리오

아래 확률은 통계적 예측이 아니라 실적·제품 실행 위험을 반영한 주관적 시나리오 가중치다.

6개월

확률가중 기대가격은 약 $13.13, 기대수익률 약 +7.7%다.

1년

확률가중 기대가격은 약 $15.10, 기대수익률 약 +24%다.

3년

확률가중 기대가격은 약 $22.70, 누적 기대수익률 약 +86%, 연환산 약 23%다.

5년

확률가중 기대가격은 약 $30.00, 누적 기대수익률 약 +146%, 연환산 약 20%다.

9. 최종 투자 판단

• 투자 매력도: 높음 — 단, 고품질 성장주가 아니라 턴어라운드형 가치주로서
• 현재 주가 판단: 저평가
• 핵심 투자 포인트 1: 사이버보안 수요는 강한데 기업 성장만 부진해 실행 개선 시 리레이팅 여지가 큼
• 핵심 투자 포인트 2: 매출이 정체되어도 약 15% FCF 마진과 낮은 EV/Sales가 하방 완충 역할을 함
• 핵심 투자 포인트 3: Exposure + Detection/Response + Threat Intelligence/AI 통합 전략이 산업 방향과 맞음
• 핵심 리스크 1: Core ARR마저 감소하면 현재 할인은 가치함정으로 바뀔 수 있음
• 핵심 리스크 2: 2027년 $600M 사채 상환 후 현금 쿠션과 이자수익 감소
• 핵심 리스크 3: SBC와 연 4~5% 수준의 주식 희석, 대형 플랫폼과의 경쟁

지금 사도 되는가? 현재 $12.19에서는 소액 분할 접근은 가능하다고 본다. 다만 전량 매수 가격이라기보다는 Core ARR 반등을 기다리는 턴어라운드 포지션에 적합하다.

기다린다면 어느 가격대인가? $10~11.5는 기본 가치 대비 안전마진이 더 좋아지는 구간이고, 핵심 사업 지표가 유지된다는 전제에서 $9.5 이하에서는 리스크/보상 비대칭이 상당히 커진다.

장기 보유 가능한가? 조건부다. 2027년에 Core ARR이 최소 3~5% 성장으로 복귀하고, D&R 성장률을 유지하며, FCF가 $130M 이상이고 희석률이 낮아지면 장기 보유 논리가 생긴다. 반대로 2027년에도 Core ARR이 감소하면 장기 복리 기업이 아니라 단기 비용절감형 가치함정일 수 있다.

가장 중요한 다음 이벤트는 2026년 11월 초로 예상되는 Q3 실적이다. 투자자는 총 ARR 숫자보다 Core ARR, D&R 성장률, Exposure Management의 안정화 여부, Q4 20% 비GAAP 마진 달성 가능성을 우선 확인해야 한다.