Привет!
CPA BRO — международная партнерская сеть. Мы занимаемся арбитражем трафика и развитием клиентов.
Chocopay — сервис виртуальных карт. Мы позволяем осуществлять оплату различных сервисов в условиях текущих ограничений.
Всё это часть крупного холдинга Блэкмедиа.
Сейчас ищем технически сильного AppSec / Product Security Engineer, который любит находить уязвимости руками! Предстоит защищать несколько активно развивающихся продуктов: Telegram-ботов, Mini App, сайт, API и платежную инфраструктуру.
У нас небольшая, но амбициозная команда, где ценится инженерная культура и ответственность за результат!
Чем предстоит заниматься:
- Проводить аудит исходного кода backend, frontend и API.
- Проверять Telegram-ботов и Mini App на уязвимости.
- Искать IDOR / BOLA / BFLA, обход авторизации, доступ к чужим аккаунтам через изменение идентификаторов.
- Тестировать API вручную, в том числе через Burp Suite.
- Проверять безопасность платежных сценариев.
- Искать утечки реквизитов карт, паролей и платежных данных.
- Защищать данные пользователей: исключать доступ к чужим аккаунтам, картам и транзакциям.
- Контролировать исправления разработчиков и новые релизы, предотвращать повторное появление уязвимостей.
- Внедрять и развивать автоматизацию безопасности: SAST, DAST, сканирование зависимостей и секретов.
- Работать в связке с разработкой и объяснять, как исправлять найденные проблемы.
Наши ожидания:
- Опыт в информационной безопасности / AppSec / Product Security от 4 лет.
- Опыт защиты платежных, банковских или FinTech-продуктов.
- Опыт ручного тестирования API через Burp Suite.
- Знание OWASP API Security Top 10.
- Понимание PCI DSS и защиты карточных данных.
- Понимание аутентификации, авторизации, сессий, JWT/OAuth и разграничения прав.
- Опыт тестирования сложной ролевой модели и object-level authorization: actor/target/object ownership, горизонтальное и вертикальное повышение привилегий.
- Опыт threat modeling и security review бизнес-логики финансовых операций: переводы, пополнения, approval flows, card lifecycle, webhooks, idempotency/replay.
- Умение объяснять разработчикам, как исправлять уязвимости, и проверять результат.
- Навык самостоятельного ручного поиска уязвимостей, а не только запуска сканеров.
Будет плюсом:
- Опыт работы с Telegram Mini Apps / Telegram WebApp.
- Опыт с платежными шлюзами, эквайрингом, card issuing, refunds, webhooks.
- Практика с SAST / DAST, CI/CD security, DevSecOps.
- Сертификаты: Burp Suite Certified Practitioner, OSWE, OSCP и другие.
- Опыт построения процессов AppSec с нуля или в небольшой команде.
Мы предлагаем:
- Достойная ЗП, стабильные выплаты 2 раза в месяц.
- Стандартный график 5/2, гибридный формат.
- Работа в светлом и уютном офисе класса А, расположенном в центре Москвы (в шаговой доступности от метро Тульская).
- Гибкое начало рабочего дня (с 10 или 11 утра).
- Корпоративный психолог.
- Корпоративный английский.
- Сильная корпоративная культура без лишней бюрократии.
