Jobs Penetration Tester

Project Context

Our client is building and maintaining software systems where reliability, data protection, and secure user flows are critical. The QA function is not limited to checking whether features work as expected. The team also needs someone who can actively challenge the system, identify weak points, verify security assumptions, and help prevent vulnerabilities before they reach production.

We are looking for an Ethical Hacker / Penetration Tester who can work closely with QA (or as a part time QA), engineering, and product teams to test web applications, APIs, authentication flows, permissions, infrastructure exposure, and overall application security.

This is a hands-on role. The main expectation is to find real risks, reproduce them clearly, document them properly, and help the engineering team validate that fixes are effective.

Role

We are looking for a Security QA Engineer / Ethical Hacker / Penetration Tester who will take ownership of security testing across application, API, and platform layers.

This person should be comfortable working as part of a QA-oriented delivery process while bringing deeper security expertise into the team. The role requires practical knowledge of penetration testing, vulnerability assessment, secure testing methods, and clear communication with developers.

Key Responsibilities

• Perform manual security testing of web applications, APIs, user flows, and admin panels.
• Conduct penetration testing against staging and production-like environments.
• Identify, reproduce, document, and validate security vulnerabilities.
• Test authentication, authorization, permissions, session management, password flows, and access-control logic.
• Review API endpoints for broken access control, injection risks, data exposure, rate-limit issues, and insecure design.
• Validate security fixes and perform regression security testing.
• Work with QA engineers to include security checks in the regular testing process.
• Prepare clear reports with reproduction steps, evidence, severity, impact, and recommended remediation.
• Collaborate with developers to explain vulnerabilities and verify that fixes address the real issue.
• Support threat modeling and security review of new features when needed.
• Help improve security awareness and testing standards inside the team.

Required Experience

• 3+ years of experience in penetration testing, application security, security QA, or ethical hacking.
• Strong understanding of OWASP Top 10 and common web application vulnerabilities.
• Experience testing REST APIs and web-based systems.
• Practical experience with authentication and authorization testing.
• Ability to discover, reproduce, and explain vulnerabilities clearly.
• Experience using security testing tools such as Burp Suite, OWASP ZAP, Nmap, Wireshark, Metasploit, or similar.
• Understanding of HTTP, HTTPS, cookies, headers, sessions, JWT, OAuth2, MFA, and role-based access control.
• Ability to write simple scripts or proof-of-concept checks when needed, preferably in Python.
• Strong documentation skills and ability to produce actionable vulnerability reports.
• Good communication skills and ability to work directly with engineering and QA teams.
• Upper-intermediate or better English for written and spoken communication.

Nice to Have

• Experience with cloud security testing, especially AWS, Azure, or GCP.
• Experience with Docker, Kubernetes, CI/CD pipelines, and infrastructure security basics.
• Experience with mobile application security testing.
• Experience with secure code review.
• Experience with SAST, DAST, dependency scanning, and security automation.
• Bug bounty experience or responsible disclosure background.
• Security certifications such as OSCP, PNPT, eJPT, CEH, GWAPT, or similar.
• Experience working in product teams rather than only external consulting environments.

What Success Looks Like

• Security issues are found early and described clearly.
• Developers can reproduce and fix reported vulnerabilities without confusion.
• QA coverage becomes stronger because security checks are included in regular delivery.
• Authentication, authorization, and API risks are actively tested before release.
• Security findings are prioritized by real impact, not just tool output.
• The team gains practical confidence that critical user flows and sensitive data are protected.

Наша команда займається розробкою високотехнологічних рішень для ураження ворожих цілей. Ми створюємо повноцінні продукти - від ідеї до серійного виробництва. 

Зараз шукаємо Technical writer що підсилить нашу IT команду. 

Необхідні навички та досвід:
 

• Досвід роботи Technical Writer, IT Documentation Specialist або на суміжній позиції від 3 років.
• Досвід підготовки технічної документації для IT-систем, інфраструктури або програмних продуктів.
• Розуміння основ IT-інфраструктури: сервери, мережі, віртуалізація, операційні системи, хмарні сервіси.
• Вміння швидко розбиратися в технічних темах і перетворювати складну інформацію у зрозумілу документацію.
• Навички структурованого написання текстів, створення технічних інструкцій та гайдів.
• Досвід співпраці з технічними командами (System Administrators, DevOps, Network Engineers).
   

Майбутні обов'язки:
 

• Розробка, оновлення та підтримка технічної документації для інфраструктурних IT-систем.
• Документування процесів адміністрування, розгортання та підтримки інфраструктурних сервісів.
• Підготовка зрозумілих інструкцій, гайдів і knowledge base матеріалів для інженерів, DevOps-команд, служби підтримки та користувачів.
• Співпраця з системними адміністраторами, DevOps, мережевими інженерами та архітекторами для збору технічної інформації.
• Структурування та стандартизація технічної документації.
• Підтримка актуальності документації під час змін інфраструктури, релізів та міграцій.
• Підготовка схем, діаграм архітектури та технічних workflow.
• Проведення рев’ю технічної документації та покращення її якості, зрозумілості й структури.
• Участь у створенні шаблонів, стандартів і best practices для документування IT-інфраструктури (архітектурні описи, інструкції з налаштування, експлуатаційна документація, сервери, мережі, віртуалізація, хмарні сервіси).
   

Умови роботи:
 

• офіційне працевлаштування через КзпП;
• відпустка — 24 календарних дні на рік + 1 день відпустки на день народження;
• медичне страхування після успішного проходження випробувального терміну;
• можливість створювати нове, експериментувати та вирішувати складні завдання;
• професійне зростання та постійне вдосконалення навичок;
• команда однодумців та інноваторів
• бронювання військовозобов'язаних за умови наявності актуальних військово-облікових документів;
• комфортний офіс на правому березі Києва.

Ми — Red Team, команда, яка стоїть на захисті цифрових продуктів, якими користуються мільйони українців щодня. Наша місія — знаходити вразливості, забезпечуючи надійність і стійкість всієї екосистеми Дії.

Наші цінності:
Ми віримо в інакШОмислення, що формує майбутнє та відкриває шлях до постійного розвитку. Клієнтоцентричність для нас — це відповідальність перед мільйонами користувачів, чия безпека залежить від якості нашої роботи. Ми діємо в культурі кооперації та відкритості, де доброчесність і прозорість є основою довіри всередині команди. А наша наполегливість дозволяє досягати найвищого рівня захисту.

Ваша основна місія:
Ваша роль — захист цифрової держави. Ви забезпечуєте надійність, безпеку та стійкість усіх продуктів екосистеми шляхом систематичного виявлення та усунення технічних вразливостей до того, як вони стануть загрозою. Ваш нестандартний погляд на архітектуру систем і внутрішній «хист» до кібербезпеки — це те, що робить цифрову державу по-справжньому захищеною.

У фокусі роботи:
– проведення пентестів вебдодатків, API, мобільних застосунків та хмарних середовищ;
– імітація кібератак і моделювання загроз для виявлення критичних вразливостей;
– аналіз та документування знайдених вразливостей із рекомендаціями щодо їх усунення;
– автоматизація процесів тестування для підвищення ефективності роботи команди;
– проведення fuzz-тестування та реверс-інжинірингу цифрових продуктів;
– моніторинг актуальних кіберзагроз та адаптація тестових сценаріїв;
– взаємодія з внутрішніми командами проєктів екосистеми під час перевірок.

Від вас очікуємо:
– вища освіта (бакалаврський рівень або вище);
– 2+ роки досвіду проведення пентестів вебдодатків, API, мобільних застосунків або хмарних середовищ;
– ґрунтовні знання OWASP (Web, API, Mobile);
– впевнене володіння інструментами: Burp Suite, Nmap, Metasploit, Nessus, Nikto, Acunetix, Ghidra;
– знання інструментів мобільного пентесту (Frida, MobSF) та роботи з API (Postman);
– досвід роботи з Python, Bash або PowerShell для автоматизації задач;
– знання SQL та розуміння мережевих протоколів (TCP/IP, HTTP, HTTPS);
– досвід тестування RESTful та GraphQL API;
– вміння працювати з Docker та Kubernetes.

Буде плюсом:
– наявність сертифікацій у сфері кібербезпеки (OSCP, OSWE, CEH або аналогічних);
– досвід участі у програмах Bug Bounty або роботи з DevSecOps;
– досвід використання інструментів SAST/DAST, SIEM та систем логування.

Ми шукаємо талант, який:
– бачить систему нестандартно і знаходить те, що інші пропускають;
– має внутрішню пристрасть до кібербезпеки та постійно розвиває свої технічні навички;
– швидко переключається між різними типами задач — Web, Mobile, API, Cloud — без втрати якості. 

Ми пропонуємо:
– роботу в команді, що захищає продукти екосистеми, якими користуються мільйони українців;
– менторство від досвідчених колег з поступовим переходом до автономії в проєктах;
– гібридний формат роботи після адаптаційного періоду;
– реальні виклики: різноманітні проєкти з Web, Mobile, API та Cloud без нереальних дедлайнів;
– офіс з генератором та безперебійним інтернетом;
– бронювання працівників за умови актуального військового обліку.

Готові до виклику?
Ми шукаємо не просто технічного спеціаліста — ми шукаємо того, хто бачить вразливості там, де інші бачать лише код. Якщо кібербезпека для вас — це не робота, а покликання, приєднуйтесь до команди, яка щодня тримає цифровий щит для всієї країни.

Ми шукаємо талановитого та вмотивованого Security Engineer / Pentester, який допоможе нашій команді будувати безпечний продукт, знаходити вразливості до того, як це зроблять зловмисники, та впроваджувати найкращі практики DevSecOps та SSDLC. 

Обов'язки:
 

• Проведення пентестів: Регулярне тестування на проникнення (Black Box, Grey Box, White Box) для веб-додатків, застосунків, API-технологій та інфраструктури. 
• Аудит за стандартами: Оцінка безпеки застосунків на відповідність стандарту OWASP ASVS (Level 1–3). 
• Автоматизація та аналіз (ASST/SAST/DAST): Налаштування та використання інструментів автоматичного сканування коду та валідація їхніх результатів (відсіювання False Positives). 
• Аналіз бізнес-логіки: Мануальний аналіз, рев’ю та пошук архітектурних вразливостей різної складності та помилок у логіці застосунків. 
• Звітність та взаємодія: Складання детальних технічних звітів за результатами тестування (оцінка ризиків за шкалою CVSS v3/v4) та надання чітких рекомендацій розробникам щодо виправлення багів (Remediation). 
• Моделювання загроз: Участь у процесах Threat Modeling на ранніх етапах проєктування функціональних можливостей застосунків. 

Вимоги:

• Досвід роботи: Від 3+ років у сфері безпеки застосунків або\та тестів на проникнення. 
• Знання стандартів: Глибоке розуміння методологій OWASP Top 10, OWASP WSTG, ASVS, CWE,SSDLC (NIST SSDF). 
• Використання інструментарів: Експертне знання Burp Suite Pro, OWASP ZAP, Nmap, Metasploit, SQLmap, Nessus/Acunetix тощо. 
• Розуміння архітектури: Досвід роботи з мікросервісною архітектурою, REST API, GraphQL, контейнеризацією (Docker, Kubernetes) та хмарними безпековими практиками (AWS / Azure / GCP). 
• Аналіз коду: Поглиблений досвід читання та аналізу вихідного коду на предмет наявності вразливостей (бажано знання однієї або кількох мов: [впишіть стек проекту, наприклад: Java / Node.js / .NET / Python]). 
• Автоматизація: Навички написання скриптів для автоматизації рутинних завдань безпеки (Python, Bash або Go). 

Буде плюсом:  

• Наявність профільних сертифікатів: OSCP, OSWE, eWPT, CEH або CISSP. 
• Досвід інтеграції інструментів безпеки в CI/CD конвеєри (GitLab CI, GitHub Actions, Jenkins). 
• Досвід участі у програмах Bug Bounty, Catch the Flag/Hackathons.  
• Конструктивний підхід: Вміння не просто «знайти дірку», а аргументовано та без токсичності пояснити команді розробки, чому це небезпечно і як це виправити. 
• Аналітичний склад розуму, уважність до деталей та здатність думати як зловмисник (adversarial mindset). 

 Що ми пропонуємо:  

•  Можливість бронювання, офіційне працевлаштування
  Масштаб та вплив: Можливість працювати над ТОП-1 ІТ проєктами в Україні. Ваш внесок у безпеку продукту впливатиме на мільйони користувачів та захист національної цифрової інфраструктури.