Загрузи резюме, чтобы видеть мэтчи с вакансиейЗагрузи резюме, чтобы видеть мэтч с вакой
подготовься к отклику
ai-инструменты
Чтобы адаптировать резюме под вакансию или составить сопроводительное письмо, загрузи резюме
О рекламодателе
ОБЩЕСТВО С ОГРАНИЧЕННОЙ ОТВЕТСТВЕННОСТЬЮ "ЦЕНТР НАЦИОНАЛЬНЫХ ИНТЕЛЛЕКТУАЛЬНЫХ СИСТЕМ" ИНН: 9704271170
описание
Привет! CPA BRO — международная партнерская сеть. Мы занимаемся арбитражем трафика и развитием клиентов. Chocopay — сервис виртуальных карт. Мы позволяем осуществлять оплату различных сервисов в условиях текущих ограничений. Всё это часть крупного холдинга Блэкмедиа. Сейчас ищем технически сильного AppSec / Product Security Engineer, который любит находить уязвимости руками! Предстоит защищать несколько активно развивающихся продуктов: Telegram-ботов, Mini App, сайт, API и платежную инфраструктуру. У нас небольшая, но амбициозная команда, где ценится инженерная культура и ответственность за результат!
задачи
Проводить аудит исходного кода backend, frontend и API.
Проверять Telegram-ботов и Mini App на уязвимости.
Искать IDOR / BOLA / BFLA, обход авторизации, доступ к чужим аккаунтам через изменение идентификаторов.
Тестировать API вручную, в том числе через Burp Suite.
Проверять безопасность платежных сценариев.
Искать утечки реквизитов карт, паролей и платежных данных.
Защищать данные пользователей: исключать доступ к чужим аккаунтам, картам и транзакциям.
Контролировать исправления разработчиков и новые релизы, предотвращать повторное появление уязвимостей.
Внедрять и развивать автоматизацию безопасности: SAST, DAST, сканирование зависимостей и секретов.
Работать в связке с разработкой и объяснять, как исправлять найденные проблемы.
требования
Опыт в информационной безопасности / AppSec / Product Security от 4 лет.
Опыт защиты платежных, банковских или FinTech-продуктов.
Опыт ручного тестирования API через Burp Suite.
Знание OWASP API Security Top 10.
Понимание PCI DSS и защиты карточных данных.
Понимание аутентификации, авторизации, сессий, JWT/OAuth и разграничения прав.
Опыт тестирования сложной ролевой модели и object-level authorization: actor/target/object ownership, горизонтальное и вертикальное повышение привилегий.
Опыт threat modeling и security review бизнес-логики финансовых операций: переводы, пополнения, approval flows, card lifecycle, webhooks, idempotency/replay.
Умение объяснять разработчикам, как исправлять уязвимости, и проверять результат.
Навык самостоятельного ручного поиска уязвимостей, а не только запуска сканеров.
Будет плюсом: Опыт работы с Telegram Mini Apps / Telegram WebApp; Опыт с платежными шлюзами, эквайрингом, card issuing, refunds, webhooks; Практика с SAST / DAST, CI/CD security, DevSecOps; Сертификаты: Burp Suite Certified Practitioner, OSWE, OSCP и другие; Опыт построения процессов AppSec с нуля или в небольшой команде
условия
Достойная ЗП, стабильные выплаты 2 раза в месяц.
Стандартный график 5/2, гибридный формат.
Работа в светлом и уютном офисе класса А, расположенном в центре Москвы (в шаговой доступности от метро Тульская).
Гибкое начало рабочего дня (с 10 или 11 утра).
Корпоративный психолог.
Корпоративный английский.
Сильная корпоративная культура без лишней бюрократии.
