О компании
CPA BRO — международная партнерская сеть. Мы занимаемся арбитражем трафика и развитием клиентов.
Chocopay — сервис виртуальных карт. Мы позволяем осуществлять оплату различных сервисов в условиях текущих ограничений.
Всё это часть крупного холдинга Блэкмедиа.
Сейчас ищем технически сильного AppSec / Product Security Engineer, который любит находить уязвимости руками! Предстоит защищать несколько активно развивающихся продуктов: Telegram-ботов, Mini App, сайт, API и платежную инфраструктуру.
У нас небольшая, но амбициозная команда, где ценится инженерная культура и ответственность за результат!
Чем предстоит заниматься
•Проводить аудит исходного кода backend, frontend и API.
•Проверять Telegram-ботов и Mini App на уязвимости.
•Искать IDOR / BOLA / BFLA, обход авторизации, доступ к чужим аккаунтам через изменение идентификаторов.
•Тестировать API вручную, в том числе через Burp Suite.
•Проверять безопасность платежных сценариев.
•Искать утечки реквизитов карт, паролей и платежных данных.
•Защищать данные пользователей: исключать доступ к чужим аккаунтам, картам и транзакциям.
•Контролировать исправления разработчиков и новые релизы, предотвращать повторное появление уязвимостей.
•Внедрять и развивать автоматизацию безопасности: SAST, DAST, сканирование зависимостей и секретов.
•Работать в связке с разработкой и объяснять, как исправлять найденные проблемы.
Наши ожидания
•Опыт в информационной безопасности / AppSec / Product Security от 4 лет.
•Опыт защиты платежных, банковских или FinTech-продуктов.
•Опыт ручного тестирования API через Burp Suite.
•Знание OWASP API Security Top 10.
•Понимание PCI DSS и защиты карточных данных.
•Понимание аутентификации, авторизации, сессий, JWT/OAuth и разграничения прав.
•Опыт тестирования сложной ролевой модели и object-level authorization: actor/target/object ownership, горизонтальное и вертикальное повышение привилегий.
•Опыт threat modeling и security review бизнес-логики финансовых операций: переводы, пополнения, approval flows, card lifecycle, webhooks, idempotency/replay.
•Умение объяснять разработчикам, как исправлять уязвимости, и проверять результат.
•Навык самостоятельного ручного поиска уязвимостей, а не только запуска сканеров.
Будет плюсом
•Опыт работы с Telegram Mini Apps / Telegram WebApp.
•Опыт с платежными шлюзами, эквайрингом, card issuing, refunds, webhooks.
•Практика с SAST / DAST, CI/CD security, DevSecOps.
•Сертификаты: Burp Suite Certified Practitioner, OSWE, OSCP и другие.
•Опыт построения процессов AppSec с нуля или в небольшой команде.
Мы предлагаем
•Достойная ЗП, стабильные выплаты 2 раза в месяц.
•Стандартный график 5/2, гибридный формат.
•Работа в светлом и уютном офисе класса А, расположенном в центре Москвы (в шаговой доступности от метро Тульская).
•Гибкое начало рабочего дня (с 10 или 11 утра).
•Корпоративный психолог.
•Корпоративный английский.
•Сильная корпоративная культура без лишней бюрократии.
