AppSec Engineer / Product Security Engineer

Привет!

CPA BRO — международная партнерская сеть. Мы занимаемся арбитражем трафика и развитием клиентов.

Chocopay — сервис виртуальных карт. Мы позволяем осуществлять оплату различных сервисов в условиях текущих ограничений.

Всё это часть крупного холдинга Блэкмедиа.

Сейчас ищем технически сильного AppSec / Product Security Engineer, который любит находить уязвимости руками! Предстоит защищать несколько активно развивающихся продуктов: Telegram-ботов, Mini App, сайт, API и платежную инфраструктуру.

У нас небольшая, но амбициозная команда, где ценится инженерная культура и ответственность за результат!

Чем предстоит заниматься:

• Проводить аудит исходного кода backend , frontend и API .

• Проверять Telegram-ботов и Mini App на уязвимости.

• Искать IDOR / BOLA / BFLA , обход авторизации, доступ к чужим аккаунтам через изменение идентификаторов.

• Тестировать API вручную , в том числе через Burp Suite.

• Проверять безопасность платежных сценариев.

• Искать утечки реквизитов карт, паролей и платежных данных.

• Защищать данные пользователей: исключать доступ к чужим аккаунтам, картам и транзакциям.

• Контролировать исправления разработчиков и новые релизы, предотвращать повторное появление уязвимостей.

• Внедрять и развивать автоматизацию безопасности: SAST, DAST, сканирование зависимостей и секретов.

• Работать в связке с разработкой и объяснять, как исправлять найденные проблемы.

Наши ожидания:

• Опыт в информационной безопасности / AppSec / Product Security от 4 лет.

• Опыт защиты платежных, банковских или FinTech-продуктов.

• Опыт ручного тестирования API через Burp Suite.

• Знание OWASP API Security Top 10.

• Понимание PCI DSS и защиты карточных данных.

• Понимание аутентификации, авторизации, сессий, JWT/OAuth и разграничения прав.

• Опыт тестирования сложной ролевой модели и object-level authorization: actor/target/object ownership, горизонтальное и вертикальное повышение привилегий.

• Опыт threat modeling и security review бизнес-логики…