AppSec Engineer / Product Security Engineer

Привет!

CPA BRO — международная партнерская сеть. Мы занимаемся арбитражем трафика и развитием клиентов.
Chocopay — сервис виртуальных карт. Мы позволяем осуществлять оплату различных сервисов в условиях текущих ограничений.
Всё это часть крупного холдинга Блэкмедиа.

Сейчас ищем технически сильного AppSec / Product Security Engineer, который любит находить уязвимости руками! Предстоит защищать несколько активно развивающихся продуктов: Telegram-ботов, Mini App, сайт, API и платежную инфраструктуру.
У нас небольшая, но амбициозная команда, где ценится инженерная культура и ответственность за результат!

Чем предстоит заниматься:

• Проводить аудит исходного кода backend, frontend и API.
• Проверять Telegram-ботов и Mini App на уязвимости.
• Искать IDOR / BOLA / BFLA, обход авторизации, доступ к чужим аккаунтам через изменение идентификаторов.
• Тестировать API вручную, в том числе через Burp Suite.
• Проверять безопасность платежных сценариев.
• Искать утечки реквизитов карт, паролей и платежных данных.
• Защищать данные пользователей: исключать доступ к чужим аккаунтам, картам и транзакциям.
• Контролировать исправления разработчиков и новые релизы, предотвращать повторное появление уязвимостей.
• Внедрять и развивать автоматизацию безопасности: SAST, DAST, сканирование зависимостей и секретов.
• Работать в связке с разработкой и объяснять, как исправлять найденные проблемы.

Наши ожидания:

• Опыт в информационной безопасности / AppSec / Product Security от 4 лет.
• Опыт защиты платежных, банковских или FinTech-продуктов.
• Опыт ручного тестирования API через Burp Suite.
• Знание OWASP API Security Top 10.
• Понимание PCI DSS и защиты карточных данных.
• Понимание аутентификации, авторизации, сессий, JWT/OAuth и разграничения прав.
• Опыт тестирования сложной ролевой модели и object-level authorization: actor/target/object ownership, горизонтальное и вертикальное повышение привилегий.
• Опыт threat modeling и security review бизнес-логики финансовых операций: переводы, пополнения, approval flows, card lifecycle, webhooks, idempotency/replay.
• Умение объяснять разработчикам, как исправлять уязвимости, и проверять результат.
• Навык самостоятельного ручного поиска уязвимостей, а не только запуска сканеров.​​​​​​​

Будет плюсом:

• Опыт работы с Telegram Mini Apps / Telegram WebApp.
• Опыт с платежными шлюзами, эквайрингом, card issuing, refunds, webhooks.
• Практика с SAST / DAST, CI/CD security, DevSecOps.
• Сертификаты: Burp Suite Certified Practitioner, OSWE, OSCP и другие.
• Опыт построения процессов AppSec с нуля или в небольшой команде.

Мы предлагаем:

• Достойная ЗП, стабильные выплаты 2 раза в месяц.
• Стандартный график 5/2, гибридный формат.
• Работа в светлом и уютном офисе класса А, расположенном в центре Москвы (в шаговой доступности от метро Тульская).
• Гибкое начало рабочего дня (с 10 или 11 утра).
• Корпоративный психолог.
• Корпоративный английский.
• Сильная корпоративная культура без лишней бюрократии.