Jobs Penetration Tester

We are looking for an experienced Application Security Engineer or Penetration Tester to help strengthen the security of our web and mobile applications.
This is a hands-on role that combines penetration testing, secure code review, security engineering, and collaboration with development teams. You will identify real security risks, recommend practical solutions, and help integrate security throughout the software development lifecycle.
 

Main responsibilities

• Plan, coordinate, and perform penetration tests of web and mobile applications;
• Conduct infrastructure security assessments and security audits.
• Identify vulnerabilities, threats, and security risks affecting web and mobile applications;
• Clearly communicate identified vulnerabilities, their business impact, and recommended remediation actions;
• Evaluate, recommend, and implement security solutions for web and mobile applications;
• Perform secure code reviews and provide practical guidance to development teams;
• Analyze security events and monitor the security posture of applications;
• Implement and maintain security standards and controls within the Secure Software Development Life Cycle;
• Integrate application security tools and security testing into CI/CD pipelines;
• Investigate security incidents and recommend remediation and preventive measures;
• Deliver training and awareness sessions on secure software development practices;
• Work closely with developers, engineering teams, and other stakeholders to improve application security.

Must-have requirements

• At least three years of professional experience as a Penetration Tester, Application Security Engineer, or Security Engineer;
• Hands-on experience conducting penetration tests of web and mobile applications;
• Experience identifying, validating, and assessing the impact of application security vulnerabilities;
• Ability to explain vulnerabilities, risks, and remediation recommendations to both technical and non-technical stakeholders;
• Practical experience performing secure code reviews;
• Basic proficiency in at least one programming language, such as C#, Python, or JavaScript;
• Strong understanding of the Software Development Life Cycle;
• Hands-on experience implementing or maintaining application security tools, including:
  • Static Application Security Testing (SAST)
  • Dynamic Application Security Testing (DAST)
  • Software Composition Analysis (SCA)
• Familiarity with integrating security controls and testing tools into CI/CD pipelines and Secure SDLC processes;
• Professional proficiency in Ukrainian and English at B2 level or higher.
• Strong analytical, communication, and problem-solving skills.

Nice to have

• Knowledge of security risks related to artificial intelligence and large language models;
• Hands-on experience testing or securing AI- and LLM-based solutions;
• Knowledge of Polish.

This role gives you the opportunity to combine offensive security skills with practical security engineering. You will not only identify vulnerabilities but also help teams fix them, improve development processes, and build more secure products from the start.
 

You will work across penetration testing, secure code review, security tooling, CI/CD, and Secure SDLC. If you enjoy solving complex security challenges and working closely with development teams, we would be happy to hear from you.

HighCraft is looking for an Application Security Engineer to assess a healthcare platform for practitioners and patients.

This is an ongoing remote, part-time contract, starting with a security assessment estimated at 40–60 hours. You will then provide security reviews and support as new features and integrations are developed.

What you will do

• Perform manual security assessments of web applications and APIs.
• Identify and validate vulnerabilities in authentication, access controls, business logic and data handling.
• Review security-sensitive changes and third-party integrations.
• Document findings with clear evidence, reproduction steps and practical remediation guidance.
• Work with developers to resolve security issues and retest fixes.

What we are looking for

• Hands-on experience independently testing authenticated web applications and APIs.
• Practical understanding of OWASP web and API security, authentication, authorization and multi-tenant applications.
• Ability to investigate and validate findings manually using HTTP requests and application behavior.
• Clear technical reporting and practical remediation guidance.
• Upper-Intermediate English (B2), with the ability to discuss findings with developers.

Experience with Burp Suite, .NET, Azure or healthcare systems is a plus.

To apply

Please include:

• Your relevant web/API security testing experience.
• Your expected hourly rate.
• Your weekly availability and earliest start date.
• A brief, anonymized example of a security issue you identified and how you documented it.

Requirements:

• Strong senior-level QA experience with a broad software testing background.
• Substantial hands-on penetration testing experience in real customer or production environments.
• Experience testing web applications and APIs, including common OWASP vulnerabilities.
• Ability to independently plan, execute, and document penetration tests.
• Ability to provide detailed reports with testing methodology, logs, evidence, reproduction steps, severity, and remediation recommendations.
• OSCP, OSCE, or a similar security certification is highly preferred.

We offer:

• Attractive financial package

• Challenging projects

• Professional & career growth

• Great atmosphere in a friendly small team

• Flexible working hours

Our client is building a digital twin engine that simulates enterprise IT environments (cloud, SaaS, identity, endpoints, networks, security products) with high fidelity, then runs attacks from agentic red teams against them to capture realistic telemetry for AI security training and evaluation.

This is a zero-to-one build — you'll define the architecture and technical direction from scratch.
 

Who we're looking for

A hybrid of offensive security expert and production software engineer — someone who thinks like an attacker and can turn that into a reliable, scalable system. Not a pure pentester, not a pure backend engineer.
 

Scope of Work

• Own the architecture and hands-on development of the digital twin engine.
• Build high-fidelity simulations of company stacks — users, networks, cloud, SaaS, identity, endpoints, security products.
• Run attacks from agentic red teams and capture realistic telemetry.
• Adapt environments to customer stacks while protecting privacy, isolation, and authorization boundaries.
• Lead the technical roadmap and engineering standards across contributors.
• Keep the engine reproducible, reliable, scalable, and easy to extend.
   

Requirements

• Deep offensive/defensive security knowledge, including how security products (EDR/XDR/SIEM) work internally.
• Cloud security experience (AWS/Azure/GCP) and familiarity with anti-forensics techniques.
• Ability to judge whether a scenario and its telemetry are realistic, too easy, or ambiguous.
• Strong software engineering skills — proven experience shipping and operating production systems.
• Experience building cyber ranges, digital twins, security labs, or large-scale simulated environments.
• Strong knowledge of security telemetry and data pipelines (cloud, SaaS, identity, endpoints, networks).
• Comfortable leading ambiguous, zero-to-one development under uncertainty.
• Strong project planning, technical coordination, and code review skills.
   

Nice to have: AI agents/evals experience (guardrails, reproducibility, human review); conference talks or CTF/red team community involvement; background at BAS companies (Pentera, SafeBreach, Cymulate) or cyber range platforms (CybExer, SimSpace).

For our client in Berlin we are looking for Penetration Tester / Security Tester (m/f/d)

We are looking for an experienced Penetration Tester to perform security assessments of AI and Agentic AI platforms. 

Responsibilities include penetration testing of LLMs, AI agents, multi-agent systems, AI workflows, MCP implementations, APIs, cloud and infrastructure. Conduct AI Red Teaming, threat modeling, vulnerability assessments, and evaluate Prompt Injection, Jailbreaking, Data Leakage, Model Poisoning, RAG security, Tool Abuse, and Agent Exploitation. Collaborate with Engineering and Security teams, deliver security reports, and support secure-by-design AI.

Requirements: 5+ years in Penetration Testing/Security, mandatory OSCP, strong experience with LLM Security, AI Security Engineering, Agentic AI, OWASP Top 10, offensive security tools, web/API/cloud security, and excellent English. Nice to have: MCP Security, AI Red Teaming, AWS/Azure/GCP, OSEP, OSWE, GPEN, CISSP, CEH, German.

Project: ASAP – end of 2027

100% Remote, Full-time

English mandatory.

Location: EU and country near EU

Middle / Senior | Київ | Office / Hybrid

Kernel шукає Penetration Tester для перевірки реальної захищеності корпоративної інфраструктури, вебзастосунків, API та мережевих сервісів.

Це практична offensive security-роль із повним циклом роботи: пошук векторів атак, експлуатація вразливостей, Purple Team-активності, підготовка PoC, супровід remediation та повторне тестування.

Що потрібно робити

• Проводити pentest внутрішньої та зовнішньої інфраструктури, web applications, API та network equipment.
• Тестувати Active Directory: privilege escalation, delegation, ADCS, Kerberos і relay-атаки.
• Досліджувати external attack surface, виявляти shadow IT і забуті сервіси.
• Проводити phishing-кампанії та аналізувати їх результати.
• Працювати із SOC у межах Purple Team: перевіряти детекти, MITRE ATT&CK coverage та atomic tests.
• Готувати технічні звіти з PoC, кроками відтворення і пріоритизованими рекомендаціями.
• Консультувати команди під час remediation та проводити retest.
• Розвивати внутрішні offensive security-інструменти й автоматизувати повторювані перевірки.

Наші очікування

• Від двох років практичного досвіду в penetration testing.
• Active Directory: BloodHound, Impacket, Kerberos attacks, typical privilege escalation paths.
• Web security: OWASP Top 10 на рівні exploitation, Burp Suite.
• Networking, Windows/Linux post-exploitation та розуміння логіки роботи EDR.
• Python, PowerShell або Bash на рівні створення власних інструментів.
• Уміння готувати зрозумілі технічні звіти та реалістично оцінювати business impact.
• Дотримання scope, rules of engagement і вимог щодо роботи з sensitive data.
• Англійська на рівні читання технічної документації.

Nice to have: OSCP, OSEP, OSWE, CRTO, PNPT або GPEN; Red Team operations, C2 infrastructure, security controls evasion; OT/ICS security; Azure, Entra ID, Kubernetes; CTF, CVE, bug bounty або public security research; досвід у SOC чи detection engineering.

Що ми пропонуємо

• Офіційне працевлаштування та прозорі умови.
• Щорічну премію.
• Медичне страхування.
• Офісний або гібридний формат і гнучкий графік.
• Офіс у центрі Києва.
• Можливість розвивати offensive security та безпосередньо впливати на захищеність інфраструктури великої компанії.

📌 Загальна інформація: 
Компанія: NDA. Приватна організація. Існує 4 роки. У складі має декілька великих проєктів, що вже прискорюють нашу перемогу. Нині відкрита вакансія під розширення відділу. 
Проєкт: NDA, MilTech, Cyber Security, OSINT. 

– Формат роботи: повна зайнятість, гнучкий графік. 
– Можливість поєднувати із навчанням чи власними проєктами. 
– Вітається волонтерська діяльність з ухилом на miltech-проєкти.

Шукаємо: початківця-пентестера з гарною технічною базою, умінням швидко навчатись та з реальним інтересом до cybersecurity. Великий комерційний досвід не потрібен. Головне — бажання розвиватися.
 

Технічні вимоги

• Базове розуміння TCP/IP, DNS, HTTP/HTTPS та основних мережевих протоколів.
• Базове розуміння Linux та Windows.
• Основи web та network security.
• Базове розуміння vulnerability assessment та penetration testing.
• Бажано початкове розуміння Active Directory.
• Вміння працювати з терміналом.
• Знайомство з Nmap, Burp Suite та іншими базовими pentest-інструментами.
• Базовий Python/Bash/PowerShell буде плюсом.
• Практика на Hack The Box / TryHackMe / CTF / домашніх лабораторіях — велика перевага.
• Вміння користуватися сучасними нейромережами та AI-агентами для навчання, досліджень, написання скриптів, автоматизації та вирішення pentest-завдань.
• Інтерес до автоматизації pentest та vulnerability research за допомогою AI.
• Бажання самостійно тестувати нові security/AI-інструменти.
   

Особисті вимоги

• Виконавчість: отримав завдання → зробив → відзвітував про результат.
• Не зникає і залишається на зв'язку в робочий час.
• Не сидить мовчки годинами/днями над блокером — намагається розібратися і своєчасно ставить конкретне питання.
• Не чекає, поки йому розжують кожну дію.
• Після пояснення робить висновки і не повторює постійно одні й ті самі помилки.
• Хоче швидко вирости у самостійного пентестера.

Умови роботи:

• Віддалена робота, повний формат зайнятості. 
• Гнучкий графік – самостійно плануєш свій день.
• Є можливість поєднувати з навчанням, власними проєктами.
• 20 оплачуваних робочих днів відпустки на рік.
• Реально крута команда, що може класно бустанути досвід. 
• Менторство, доступ до внутрішніх навчальних матеріалів, підтримка зростання.
• Доступ до готових RDP/VPS середовищ, інструментів та внутрішньої платформи.
  
  Етапи співбесід:
• Інтервʼю із рекрутером (30 хв)
• Технічна співбесіда з командою (45-60 хв)
• Фінальна співбесіда з Owner (30 хв)
• Offer

PS: будемо щиро вдячні за ваш коментар у супровідному листі щодо релевантності вимог вакансії.  

📌 Загальна інформація: 
Компанія: NDA. Приватна організація. Існує 4 роки. У складі має декілька великих проєктів, що вже прискорюють нашу перемогу. Нині відкрита вакансія під розширення відділу. 
Проєкт: NDA, MilTech, Cyber Security, OSINT. 

– Формат роботи: повна зайнятість, гнучкий графік. 
– Можливість поєднувати із навчанням чи власними проєктами. 
– Вітається волонтерська діяльність з ухилом на miltech-проєкти.

Важливо: не обовʼязково мати 100% фіт до вакансії. Команда готова вчити та пояснювати слабкі місця в рамках робочих задач. 
 

Технічні вимоги

• Впевнене розуміння TCP/IP, маршрутизації, DNS, DHCP, SMB, LDAP, Kerberos, NTLM, RDP, WinRM та основних мережевих сервісів.
• Гарне знання Windows / Active Directory та типових помилок конфігурації AD.
• Практичний досвід внутрішнього pentest: enumeration → пошук векторів → отримання доступу → privilege escalation → lateral movement → розвиток доступу.
• Розуміння AD attack paths, ACL/permissions, trusts, GPO, delegation та credential-based атак.
• Впевнена робота з Linux та Windows.
• Досвід роботи з інструментами інфраструктурного pentest та vulnerability assessment: Nmap, BloodHound, Impacket, NetExec/аналогами, Burp Suite, Metasploit тощо.
• Розуміння vulnerability management: пошук, перевірка, пріоритизація та підтвердження вразливостей; вміння відрізняти реальну вразливість від false positive.
• Базовий scripting: Python/Bash/PowerShell або здатність швидко автоматизувати рутинні дії.
• Обов'язкове розуміння сучасних AI/LLM-інструментів: використання нейромереж та AI-агентів для pentest/R&D, аналізу результатів, автоматизації reconnaissance/enumeration, обробки даних, написання допоміжних скриптів та прискорення роботи.
• Інтерес до agentic pentest та автоматизації security-процесів; здатність самостійно тестувати та впроваджувати нові інструменти.

Умови роботи:

• Віддалена робота, повний формат зайнятості. 
• Гнучкий графік – самостійно плануєш свій день.
• Є можливість поєднувати з навчанням, власними проєктами.
• 20 оплачуваних робочих днів відпустки на рік.
• Реально крута команда, що може класно бустанути досвід. 
• Менторство, доступ до внутрішніх навчальних матеріалів, підтримка зростання.
• Доступ до готових RDP/VPS середовищ, інструментів та внутрішньої платформи.
  
  Етапи співбесід:
• Інтервʼю із рекрутером (30 хв)
• Технічна співбесіда з командою (45-60 хв)
• Фінальна співбесіда з Owner (30 хв)
• Offer

PS: будемо щиро вдячні за ваш коментар у супровідному листі щодо релевантності вимог вакансії.  

Ми шукаємо талановитого та вмотивованого Security Engineer / Pentester, який допоможе нашій команді будувати безпечний продукт, знаходити вразливості до того, як це зроблять зловмисники, та впроваджувати найкращі практики DevSecOps та SSDLC. 

Обов'язки:
 

• Проведення пентестів: Регулярне тестування на проникнення (Black Box, Grey Box, White Box) для веб-додатків, застосунків, API-технологій та інфраструктури. 
• Аудит за стандартами: Оцінка безпеки застосунків на відповідність стандарту OWASP ASVS (Level 1–3). 
• Автоматизація та аналіз (ASST/SAST/DAST): Налаштування та використання інструментів автоматичного сканування коду та валідація їхніх результатів (відсіювання False Positives). 
• Аналіз бізнес-логіки: Мануальний аналіз, рев’ю та пошук архітектурних вразливостей різної складності та помилок у логіці застосунків. 
• Звітність та взаємодія: Складання детальних технічних звітів за результатами тестування (оцінка ризиків за шкалою CVSS v3/v4) та надання чітких рекомендацій розробникам щодо виправлення багів (Remediation). 
• Моделювання загроз: Участь у процесах Threat Modeling на ранніх етапах проєктування функціональних можливостей застосунків. 

Вимоги:

• Досвід роботи: Від 3+ років у сфері безпеки застосунків або\та тестів на проникнення. 
• Знання стандартів: Глибоке розуміння методологій OWASP Top 10, OWASP WSTG, ASVS, CWE,SSDLC (NIST SSDF). 
• Використання інструментарів: Експертне знання Burp Suite Pro, OWASP ZAP, Nmap, Metasploit, SQLmap, Nessus/Acunetix тощо. 
• Розуміння архітектури: Досвід роботи з мікросервісною архітектурою, REST API, GraphQL, контейнеризацією (Docker, Kubernetes) та хмарними безпековими практиками (AWS / Azure / GCP). 
• Аналіз коду: Поглиблений досвід читання та аналізу вихідного коду на предмет наявності вразливостей (бажано знання однієї або кількох мов: [впишіть стек проекту, наприклад: Java / Node.js / .NET / Python]). 
• Автоматизація: Навички написання скриптів для автоматизації рутинних завдань безпеки (Python, Bash або Go). 

Буде плюсом:  

• Наявність профільних сертифікатів: OSCP, OSWE, eWPT, CEH або CISSP. 
• Досвід інтеграції інструментів безпеки в CI/CD конвеєри (GitLab CI, GitHub Actions, Jenkins). 
• Досвід участі у програмах Bug Bounty, Catch the Flag/Hackathons.  
• Конструктивний підхід: Вміння не просто «знайти дірку», а аргументовано та без токсичності пояснити команді розробки, чому це небезпечно і як це виправити. 
• Аналітичний склад розуму, уважність до деталей та здатність думати як зловмисник (adversarial mindset). 

 Що ми пропонуємо:  

•  Можливість бронювання, офіційне працевлаштування
  Масштаб та вплив: Можливість працювати над ТОП-1 ІТ проєктами в Україні. Ваш внесок у безпеку продукту впливатиме на мільйони користувачів та захист національної цифрової інфраструктури. 

Наш партнер — інноваційна технологічна компанія/ Наша мета полягає в тому, щоб сприяти технологічному розвитку, створюючи передові та інноваційні продукти, які відповідають потребам наших клієнтів.

Компанія пишається своєю корпоративною культурою, яка підтримує інновації та співпрацю, ми створюємо умови для того, щоб наші співробітники могли розвиватися професійно і досягати нових висот у своїй кар’єрі.
Зараз компанія в пошуку досвідченого Penetration Tester
 

Функціональні обов'язки:

• Моделювання загроз для HW/SW продуктів
• Ідентифікація ризиків, верифікація можливих атак, рекомендаці по зниженню ризиків.
• Огляд архітектур з точки зору безпеки.
• Визначення критичних компонентів та security review (security code ревью, реверс інжинірінг).
• Демонстрація атак (PoC).

Вимоги:

• Досвід в SW/HW пентестах.
• Знання різних видів механізмів та технологій безпеки.
• Досвід SW/HW реверс інжинірінгу, розробка/адаптація експлойтів.
• Знання різних технологій захисту від атак (SW/HW).
• Досвід в код ревʼю (репорти CVE будуть перевагою).

Додатково:

• Розуміння HW атак, таких як glitch атаки, SCA атаки.
• Знання основних криптографічних методів зазисту.
• Досвід в Web assessment.
• Досвід атак з викоритсанням SDR
• Ocобисті CVE, статті в області інф. безпеки.₴
  Ми пропонуємо:
• Офіційне працевлаштування, з бронюванням
• Можливість розвитку 

• Стабільну завантаженість та доступ до сучасного ПЗ

   

ПриватБанк — є найбільшим банком України та одним з найбільш інноваційних банків світу. Займає лідируючі позиції за всіма фінансовими показниками в галузі та складає близько чверті всієї банківської системи країни.
Ми шукаємо Провідного спеціаліста з тестів на проникнення (pentest), який прагне працювати в динамічному середовищі та розділяє цінності взаємної довіри, відкритості та ініціативності.
Ми прагнемо знайти цілеспрямованого професіонала, який вміє працювати в режимі багатозадачності, орієнтованого на якість та результат.

Основні обов’язки:

- Проводити зовнішнє, внутрішнє тестування на проникнення інформаційних систем банку

- Аналізувати загрози і захищеність web-додатків та інфраструктури

- Проводити дослідження захищеності систем і програмного забезпечення з метою оцінки відповідності інфраструктури об’єкта вимогам безпеки інформації

- Готувати звіти про проведені тестування на проникнення за наданим форматом

- Аналізувати різні рішення і технології з точки зору інформаційної безпеки і розробляти рекомендації щодо підвищення рівня їх захищеності
 

Основні вимоги:

- Вища освіта («Комп’ютерні науки», «Системний аналіз», «Кібербезпека», «Інформаційні системи та технології» або подібними)

- 1+років досвіду на аналогічній посаді

- Досвід проведення тестування на проникнення

- Досвід проведення аудиту систем ІТ та ІБ

- Досвід розробки на одній з мов: python, Java, ruby, PHP

- Глибоке знання технологій захисту інформації

- Глибоке знання роботи веб-протоколів і мережевих технологій, а також основних вразливостей

- Бажано: наявність профільних сертифікатів (CEH, OSCP, OSCE, ECPPT, EWPTX і ін.)

- Бажано: навички ручного і автоматизованого тестування безпеки веб-додатків

- Перевагою буде участь в CTF і BugBounty програмах
 

Своїм співробітникам ми пропонуємо:

- Роботу в найбільшому та інноваційному банку України

- Офіційне працевлаштування та 24+4 календарних дні відпустки

- Конкурентну заробітну плату

- Медичне страхування та корпоративний мобільний зв’язок

- Корпоративне навчання

- Сучасний комфортний офіс

- Цікаві проєкти, амбіційні задачі та динамічний розвиток

- Дружній професійний колектив та сильну команду