AppSec Engineer / Product Security Engineer
Описание
Привет!CPA BRO — международная партнерская сеть. Мы занимаемся арбитражем трафика и развитием клиентов.Chocopay — сервис виртуальных карт. Мы позволяем осуществлять оплату различных сервисов в условиях текущих ограничений.Всё это часть крупного холдинга Блэкмедиа. Сейчас ищем технически сильного AppSec / Product Security Engineer, который любит находить уязвимости руками! Предстоит защищать несколько активно развивающихся продуктов: Telegram-ботов, Mini App, сайт, API и платежную инфраструктуру.У нас небольшая, но амбициозная команда, где ценится инженерная культура и ответственность за результат! Чем предстоит заниматься: Проводить аудит исходного кода backend, frontend и API. Проверять Telegram-ботов и Mini App на уязвимости. Искать IDOR / BOLA / BFLA, обход авторизации, доступ к чужим аккаунтам через изменение идентификаторов. Тестировать API вручную, в том числе через Burp Suite. Проверять безопасность платежных сценариев. Искать утечки реквизитов карт, паролей и платежных данных. Защищать данные пользователей: исключать доступ к чужим аккаунтам, картам и транзакциям. Контролировать исправления разработчиков и новые релизы, предотвращать повторное появление уязвимостей. Внедрять и развивать автоматизацию безопасности: SAST, DAST, сканирование зависимостей и секретов. Работать в связке с разработкой и объяснять, как исправлять найденные проблемы. Наши ожидания: Опыт в информационной безопасности / AppSec / Product Security от 4 лет. Опыт защиты платежных, банковских или FinTech-продуктов. Опыт ручного тестирования API через Burp Suite. Знание OWASP API Security Top 10. Понимание PCI DSS и защиты карточных данных. Понимание аутентификации, авторизации, сессий, JWT/OAuth и разграничения прав. Опыт тестирования сложной ролевой модели и object-level authorization: actor/target/object ownership, горизонтальное и вертикальное повышение привилегий. Опыт threat modeling и security review бизнес-логики финансовых операций: переводы, пополнения, approval flows, card lifecycle, webhooks, idempotency/replay. Умение объяснять разработчикам, как исправлять уязвимости, и проверять результат. Навык самостоятельного ручного поиска уязвимостей, а не только запуска сканеров. Будет плюсом: Опыт работы с Telegram Mini Apps / Telegram WebApp. Опыт с платежными шлюзами, эквайрингом, card issuing, refunds, webhooks. Практика с SAST / DAST, CI/CD security, DevSecOps. Сертификаты: Burp Suite Certified Practitioner, OSWE, OSCP и другие. Опыт построения процессов AppSec с нуля или в небольшой команде. Мы предлагаем: Достойная ЗП, стабильные выплаты 2 раза в месяц. Стандартный график 5/2, гибридный формат. Работа в светлом и уютном офисе класса А, расположенном в центре Москвы (в шаговой доступности от метро Тульская). Гибкое начало рабочего дня (с 10 или 11 утра). Корпоративный психолог. Корпоративный английский. Сильная корпоративная культура без лишней бюрократии.