Jobs Penetration Tester

Web Application Penetration Tester (Full-Time or Contract)
 

Interactivity builds, hosts and maintains websites and apps for international clients.  

We are looking for an experienced Web Application Penetration Tester to help identify security vulnerabilities and improve the security of our clients’ websites, web applications, and APIs.

You will work closely with our development and server administration teams to identify security risks, provide clear recommendations, and verify that vulnerabilities have been properly addressed.

What You’ll Do

• Conduct authorized penetration tests of client websites, web applications, and APIs.
• Identify OWASP Top 10 vulnerabilities, including authentication and session management issues, access control flaws, injection vulnerabilities, and security misconfigurations.
• Test CMS platforms and custom applications, including WordPress, Drupal, Joomla, and Symfony.
• Review server configurations, TLS, DNS, and email authentication.
• Prepare clear security reports with severity ratings, reproduction steps, and actionable remediation recommendations for both technical teams and non-technical clients.
• Perform follow-up testing to verify that identified vulnerabilities have been resolved.
• Collaborate with developers and server administrators on security improvements.
• Agree on testing scope, rules of engagement, and schedules before each assessment.

What We’re Looking For

• 3+ years of hands-on experience in web application penetration testing.
• Strong manual penetration testing skills, including experience with Burp Suite and the ability to identify vulnerabilities that automated scanners may miss.
• Ability to use modern AI-powered security testing tools and approaches such as DAST, XBOW, Aikido, and Claude Fable.
• Working knowledge of the OWASP Web Security Testing Guide and PHP-based technology stacks.
• Strong written communication skills, with the ability to explain technical findings clearly.
• Experience working under written authorization and NDAs, with careful handling of confidential client data.

Nice to Have

• Relevant certifications, such as CREST, OSCP, GWAPT, OSWE or Burp Suite Certified Practitioner.
• Scripting skills in Python or Bash.
• Experience with Linux server hardening.
• Familiarity with PCI DSS or SOC 2 testing requirements.

Why Interactivity?
Established in 2003, we offer competitive salaries based on experience and productivity; a positive and inclusive work environment;
an opportunity to work with a veteran team on important world-class projects; a benefits package that includes:
✔ Work from anywhere in Ukraine or Europe
✔ Flexible work schedules
✔ VIP health insurance or reimbursement
✔ 20 paid days off
✔ Company-provided laptop and monitor
✔ Free membership at a gym of your choice
 
How to Apply?

Please send your CV.
If possible, include an anonymized sample penetration testing report from your previous work, ensuring that no confidential client information is disclosed.

We are looking for an experienced Application Security Engineer or Penetration Tester to help strengthen the security of our web and mobile applications.
This is a hands-on role that combines penetration testing, secure code review, security engineering, and collaboration with development teams. You will identify real security risks, recommend practical solutions, and help integrate security throughout the software development lifecycle.
 

Main responsibilities

• Plan, coordinate, and perform penetration tests of web and mobile applications;
• Conduct infrastructure security assessments and security audits.
• Identify vulnerabilities, threats, and security risks affecting web and mobile applications;
• Clearly communicate identified vulnerabilities, their business impact, and recommended remediation actions;
• Evaluate, recommend, and implement security solutions for web and mobile applications;
• Perform secure code reviews and provide practical guidance to development teams;
• Analyze security events and monitor the security posture of applications;
• Implement and maintain security standards and controls within the Secure Software Development Life Cycle;
• Integrate application security tools and security testing into CI/CD pipelines;
• Investigate security incidents and recommend remediation and preventive measures;
• Deliver training and awareness sessions on secure software development practices;
• Work closely with developers, engineering teams, and other stakeholders to improve application security.

Must-have requirements

• At least three years of professional experience as a Penetration Tester, Application Security Engineer, or Security Engineer;
• Hands-on experience conducting penetration tests of web and mobile applications;
• Experience identifying, validating, and assessing the impact of application security vulnerabilities;
• Ability to explain vulnerabilities, risks, and remediation recommendations to both technical and non-technical stakeholders;
• Practical experience performing secure code reviews;
• Basic proficiency in at least one programming language, such as C#, Python, or JavaScript;
• Strong understanding of the Software Development Life Cycle;
• Hands-on experience implementing or maintaining application security tools, including:
  • Static Application Security Testing (SAST)
  • Dynamic Application Security Testing (DAST)
  • Software Composition Analysis (SCA)
• Familiarity with integrating security controls and testing tools into CI/CD pipelines and Secure SDLC processes;
• Professional proficiency in Ukrainian and English at B2 level or higher.
• Strong analytical, communication, and problem-solving skills.

Nice to have

• Knowledge of security risks related to artificial intelligence and large language models;
• Hands-on experience testing or securing AI- and LLM-based solutions;
• Knowledge of Polish.

This role gives you the opportunity to combine offensive security skills with practical security engineering. You will not only identify vulnerabilities but also help teams fix them, improve development processes, and build more secure products from the start.
 

You will work across penetration testing, secure code review, security tooling, CI/CD, and Secure SDLC. If you enjoy solving complex security challenges and working closely with development teams, we would be happy to hear from you.

We're looking for penetration tester/vulnerability researcher who passionate about web/cloud security. Our dream is a hacker who goes deeply in the sources of web browsers, HTTP/HTML standards, Kubernetes internals.

Your primary tasks will be:

- vulnerability assessments of web applications

- vulnerability assessments of GCP/GKE infrastructures

- secure code reviews

- penetration testing

- modification and tuning of fuzzing tools

- development of custom rules and modification of code analysis tools

- modification and tuning of cloud infrastructure audit tools

- developing PoC and provide other extended proofs of vulnerability severity level

- providing guidance and training to software development and operational teams

- developing secure coding standards and rules for IDE/CI tools which support that standards

- developing challenges/skills tests for software development teams

We expect from you:

* experience in shell scripting and python programming

* experience with web-application security testing(far behind the OWASP TOP 10)

* experience with security of OpenID/Oauth2/SAML protocols

* experience with parsing code, including AST representations and grammar parsing

* knowledge of common web application architectures

For sure you need:

* Read PHP/JavaScript code

* have an in-depth knowledge of HTTP protocol

* being familiar with Docker, Kubernetes, GCP tools

* know well acronyms and their appropriate use (CVE, CVSS, CWE :)

* being a fun of PortSwigger blog

* being a CTF player

* have known pentest certifications (OSCP/CEH/BSCP/HTB CPST or similar)

In addition we expect from you:

* being a strong team player

* effectively communicate findings and remediation approaches

* have ability to take ownership of features you ship

* have interest in the feature/product vision

* being self-learner, strong can-do attitude and great interpersonal skills.

* being comfortable with writing documentation (a lot of documentation)

A big plus is:

- Google Cloud certification

- Kubernetes certification

- Terraform certification

- BigQuery SQL perfect knowledge

- SSO, Oauth2, OIDC, SAML experience

Why work at Pakurity?

* We’re a well-funded company from 2014 with several key customers

* We have a pragmatic, ready to change and adopt culture

* We are focused to provide high quality services to our customers and being proactive in their needs

* We have credit of trust from our customers and freedom to choose solutions to address their needs

When you join Pakurity, you can expect:

* Competitive compensation

* Flexible hours and additional study days

* Career growth

In any case if you're passionate about high load/security projects you will be able to grow quickly in terms of financial gain and professional development.

Pakurity is a team of cyber-security professionals. We are based in Ukraine but provide services all over the world. Our core services:

- penetration testing

- incident response

- IT audit

- secure software development trainings

HighCraft is looking for an Application Security Engineer to assess a healthcare platform for practitioners and patients.

This is an ongoing remote, part-time contract, starting with a security assessment estimated at 40–60 hours. You will then provide security reviews and support as new features and integrations are developed.

What you will do

• Perform manual security assessments of web applications and APIs.

• Identify and validate vulnerabilities in authentication, access controls, business logic and data handling.

• Review security-sensitive changes and third-party integrations.

• Document findings with clear evidence, reproduction steps and practical remediation guidance.

• Work with developers to resolve security issues and retest fixes.

What we are looking for

• Hands-on experience independently testing authenticated web applications and APIs.

• Practical understanding of OWASP web and API security, authentication, authorization and multi-tenant applications.

• Ability to investigate and validate findings manually using HTTP requests and application behavior.

• Clear technical reporting and practical remediation guidance.

• Upper-Intermediate English (B2), with the ability to discuss findings with developers.

• Ukrainian is required for day-to-day team communication.

Experience with Burp Suite, .NET, Azure or healthcare systems is a plus.

To apply

Please include:

• Your relevant web/API security testing experience.

• Your expected hourly rate.

• Your weekly availability and earliest start date.

• A brief, anonymized example of a security issue you identified and how you documented it.

For our client in Berlin we are looking for Penetration Tester / Security Tester (m/f/d)

We are looking for an experienced Penetration Tester to perform security assessments of AI and Agentic AI platforms. 

Responsibilities include penetration testing of LLMs, AI agents, multi-agent systems, AI workflows, MCP implementations, APIs, cloud and infrastructure. Conduct AI Red Teaming, threat modeling, vulnerability assessments, and evaluate Prompt Injection, Jailbreaking, Data Leakage, Model Poisoning, RAG security, Tool Abuse, and Agent Exploitation. Collaborate with Engineering and Security teams, deliver security reports, and support secure-by-design AI.

Requirements: 5+ years in Penetration Testing/Security, mandatory OSCP, strong experience with LLM Security, AI Security Engineering, Agentic AI, OWASP Top 10, offensive security tools, web/API/cloud security, and excellent English. Nice to have: MCP Security, AI Red Teaming, AWS/Azure/GCP, OSEP, OSWE, GPEN, CISSP, CEH, German.

Project: ASAP – end of 2027

100% Remote, Full-time

English mandatory.

Location: EU and country near EU

Performa is an international HR agency specializing in connecting top talent with leading companies across the iGaming, IT, and Marketing industries. We help businesses scale their teams and support professionals in finding opportunities where they can unlock their full potential.

Our client is a fast-growing international FinTech company developing innovative payment products for global markets. The team continuously explores new payment methods, automates financial processes, and builds proprietary technologies that integrate with banks, payment systems, and mobile applications.

As the company grows, they are looking for an R&D Specialist to research payment solutions, analyse mobile applications, and drive process automation.
 

Role Overview

This is a hybrid role combining Technical Research, FinTech R&D, Mobile Analysis, and Product Research. In this role, you'll go beyond identifying technical features or limitations — you'll explore how technologies can be leveraged to build new products, automate processes, and drive business growth.

If you're passionate about researching emerging technologies, analysing mobile applications, navigating complex integrations, and discovering innovative solutions, this role is for you.

Requirements:

• Strong understanding of HTTP/HTTPS, REST APIs, and client-server architecture.
• Experience using network traffic analysis tools such as Charles Proxy, Proxyman, Burp Suite, Fiddler, or similar.
• Good understanding of Android and iOS mobile applications.
• Experience with black-box analysis of applications and services.
• Ability to analyze APIs, network traffic, and client-server interactions.

Nice to Have

• Experience with Frida, Objection, or similar dynamic analysis tools.
• Experience with Appium or other test automation frameworks.
• Basic knowledge of JavaScript, Node.js, HTML, and CSS.
• Understanding of payment systems and FinTech products.
• Hands-on experience with reverse engineering mobile applications.
• Experience using Android Studio, ADB, and Android emulators.
• Experience leveraging AI tools (e.g., ChatGPT, Claude, Gemini, Cursor) for technical research and analysis.

Key Responsibilities

• Research emerging payment methods, financial technologies, and payment services.
• Analyse and reverse engineer mobile applications and web solutions to understand their architecture, logic, and integrations.
• Analyse APIs, network traffic, and data exchange mechanisms.
• Identify opportunities to automate payment-related processes.
• Identify technical limitations, bottlenecks, and potential risks.
• Prepare technical reports and recommendations for the Product and Engineering teams.

• Leverage AI-powered tools to accelerate research, analyse data, and improve technical documentation.

   

What we offer:

• Fully remote work.
• Flexible working hours.
• Competitive salary.
• The opportunity to work on innovative payment products.
• An AI-powered work environment with modern research and automation tools.
• A collaborative and experienced team.
• Opportunities for professional growth and career development.

Ми шукаємо талановитого та вмотивованого Security Engineer / Pentester, який допоможе нашій команді будувати безпечний продукт, знаходити вразливості до того, як це зроблять зловмисники, та впроваджувати найкращі практики DevSecOps та SSDLC. 

Обов'язки:
 

• Проведення пентестів: Регулярне тестування на проникнення (Black Box, Grey Box, White Box) для веб-додатків, застосунків, API-технологій та інфраструктури. 
• Аудит за стандартами: Оцінка безпеки застосунків на відповідність стандарту OWASP ASVS (Level 1–3). 
• Автоматизація та аналіз (ASST/SAST/DAST): Налаштування та використання інструментів автоматичного сканування коду та валідація їхніх результатів (відсіювання False Positives). 
• Аналіз бізнес-логіки: Мануальний аналіз, рев’ю та пошук архітектурних вразливостей різної складності та помилок у логіці застосунків. 
• Звітність та взаємодія: Складання детальних технічних звітів за результатами тестування (оцінка ризиків за шкалою CVSS v3/v4) та надання чітких рекомендацій розробникам щодо виправлення багів (Remediation). 
• Моделювання загроз: Участь у процесах Threat Modeling на ранніх етапах проєктування функціональних можливостей застосунків. 

Вимоги:

• Досвід роботи: Від 3+ років у сфері безпеки застосунків або\та тестів на проникнення. 
• Знання стандартів: Глибоке розуміння методологій OWASP Top 10, OWASP WSTG, ASVS, CWE,SSDLC (NIST SSDF). 
• Використання інструментарів: Експертне знання Burp Suite Pro, OWASP ZAP, Nmap, Metasploit, SQLmap, Nessus/Acunetix тощо. 
• Розуміння архітектури: Досвід роботи з мікросервісною архітектурою, REST API, GraphQL, контейнеризацією (Docker, Kubernetes) та хмарними безпековими практиками (AWS / Azure / GCP). 
• Аналіз коду: Поглиблений досвід читання та аналізу вихідного коду на предмет наявності вразливостей (бажано знання однієї або кількох мов: [впишіть стек проекту, наприклад: Java / Node.js / .NET / Python]). 
• Автоматизація: Навички написання скриптів для автоматизації рутинних завдань безпеки (Python, Bash або Go). 

Буде плюсом:  

• Наявність профільних сертифікатів: OSCP, OSWE, eWPT, CEH або CISSP. 
• Досвід інтеграції інструментів безпеки в CI/CD конвеєри (GitLab CI, GitHub Actions, Jenkins). 
• Досвід участі у програмах Bug Bounty, Catch the Flag/Hackathons.  
• Конструктивний підхід: Вміння не просто «знайти дірку», а аргументовано та без токсичності пояснити команді розробки, чому це небезпечно і як це виправити. 
• Аналітичний склад розуму, уважність до деталей та здатність думати як зловмисник (adversarial mindset). 

 Що ми пропонуємо:  

•  Можливість бронювання, офіційне працевлаштування
  Масштаб та вплив: Можливість працювати над ТОП-1 ІТ проєктами в Україні. Ваш внесок у безпеку продукту впливатиме на мільйони користувачів та захист національної цифрової інфраструктури. 

Наш партнер — інноваційна технологічна компанія/ Наша мета полягає в тому, щоб сприяти технологічному розвитку, створюючи передові та інноваційні продукти, які відповідають потребам наших клієнтів.

Компанія пишається своєю корпоративною культурою, яка підтримує інновації та співпрацю, ми створюємо умови для того, щоб наші співробітники могли розвиватися професійно і досягати нових висот у своїй кар’єрі.
Зараз компанія в пошуку досвідченого Penetration Tester
 

Функціональні обов'язки:

• Моделювання загроз для HW/SW продуктів
• Ідентифікація ризиків, верифікація можливих атак, рекомендаці по зниженню ризиків.
• Огляд архітектур з точки зору безпеки.
• Визначення критичних компонентів та security review (security code ревью, реверс інжинірінг).
• Демонстрація атак (PoC).

Вимоги:

• Досвід в SW/HW пентестах.
• Знання різних видів механізмів та технологій безпеки.
• Досвід SW/HW реверс інжинірінгу, розробка/адаптація експлойтів.
• Знання різних технологій захисту від атак (SW/HW).
• Досвід в код ревʼю (репорти CVE будуть перевагою).

Додатково:

• Розуміння HW атак, таких як glitch атаки, SCA атаки.
• Знання основних криптографічних методів зазисту.
• Досвід в Web assessment.
• Досвід атак з викоритсанням SDR
• Ocобисті CVE, статті в області інф. безпеки.₴
  Ми пропонуємо:
• Офіційне працевлаштування, з бронюванням
• Можливість розвитку 

• Стабільну завантаженість та доступ до сучасного ПЗ

   

Ми шукаємо вмотивованого початківця у сфері безпеки застосунків, який хоче зростати разом із командою: вчитися знаходити вразливості, працювати з інструментами автоматичного сканування та поступово занурюватися у практики DevSecOps і SSDLC. Досвід комерційної роботи не обов'язковий — важливіші базові знання, допитливість і готовність вчитися. 

Основні обов'язки 

• Робота з інструментами сканування: запуск сканувань SAST/DAST, первинний розбір результатів, відсіювання хибних спрацювань під наглядом наставника. 
• Участь у пентестах: тестування веб-застосунків та API у складі команди, під керівництвом досвідченого інженера. 
• Перевірка за чек-листами: оцінка застосунків за OWASP ASVS Level 1,2 та OWASP Top 10 із використанням готових методик. 
• Звітність: підготовка технічних описів знахідок з оцінкою за CVSS, формулювання рекомендацій розробникам (за підтримки наставника). 
• Навчання: участь у внутрішніх сесіях, розбір реальних кейсів, поступове розширення зони відповідальності. 
• Вимоги до кандидатів 
• Досвід: від 6 місяців у сфері ІТ або кібербезпеки — підійде стажування, лабораторії, участь у CTF, pet-проєкти чи навчальні платформи (TryHackMe, HackTheBox, PortSwigger Web Security Academy). 
• Базові знання: розуміння OWASP Top 10, принципів роботи HTTP/HTTPS, автентифікації та авторизації, основних класів вразливостей (XSS, SQLi, IDOR, CSRF). 
• Інструменти: базове володіння Burp Suite (Community достатньо), OWASP ZAP, Nmap. Розуміння, для чого потрібні сканери, і вміння прочитати їхній звіт. 
• Мережі та ОС: розуміння основ TCP/IP, вміння працювати в Linux-середовищі (командний рядок). 
• Код: здатність читати вихідний код хоча б однією мовою (Python, JavaScript, Java, PHP або C#) і розуміти логіку роботи застосунку. 
• Англійська: рівень достатній для читання технічної документації та звітів. 
• Буде плюсом 
• Профільна освіта (кібербезпека, комп'ютерні науки) або курси з ІБ 
• Сертифікати рівня eJPT, PNPT, CompTIA Security+ або проходження PortSwigger Web Security Academy 
• Базові навички скриптингу (Python, Bash) 
• Знайомство з Docker, Git, CI/CD 
• Участь у CTF, Bug Bounty (навіть без прийнятих звітів) 
• Власний блог, write-up'и або GitHub із навчальними проєктами 
  
   
• М'які навички 
• Готовність вчитися: вміння сприймати зворотний зв'язок. 
• Комунікація: здатність зрозуміло пояснити знайдену проблему, працювати в команді з розробниками. 
• Уважність до деталей та аналітичний склад мислення. 
• Доброчесність: розуміння етичних меж роботи з безпекою та відповідальності за доступ до чутливої інформації. 
  
  Що ми пропонуємо 
• Бронювання на період дії воєнного стану: офіційне працевлаштування в організації, визнаній критично важливою для функціонування економіки України, із повним забезпеченням процедури бронювання для військовозобов'язаних працівників. 
• Наставництво: робота під керівництвом досвідчених інженерів, регулярний зворотний зв'язок, чіткий план розвитку на перші 6–12 місяців. 
• Масштаб та вплив: участь у безпеці систем національного значення — ваш внесок захищає реальну цифрову інфраструктуру. 
• Навчання та розвиток: компенсація професійного навчання, участь у профільних конференціях та здача міжнародних сертифікацій (eJPT, OSCP тощо). 
• Комфортна локація: сучасний офіс у центрі Києва (генератори, безперебійний інтернет, облаштоване укриття). 
• Гідна винагорода: конкурентна заробітна плата з регулярним переглядом за результатами performance review. 

Ми — Red Team, команда, яка стоїть на захисті цифрових продуктів, якими користуються мільйони українців щодня. Наша місія — знаходити вразливості, забезпечуючи надійність і стійкість всієї екосистеми Дії.

Наші цінності:
Ми віримо в інакШОмислення, що формує майбутнє та відкриває шлях до постійного розвитку. Клієнтоцентричність для нас — це відповідальність перед мільйонами користувачів, чия безпека залежить від якості нашої роботи. Ми діємо в культурі кооперації та відкритості, де доброчесність і прозорість є основою довіри всередині команди. А наша наполегливість дозволяє досягати найвищого рівня захисту.

Ваша основна місія:
Ваша роль — захист цифрової держави. Ви забезпечуєте надійність, безпеку та стійкість усіх продуктів екосистеми шляхом систематичного виявлення та усунення технічних вразливостей до того, як вони стануть загрозою. Ваш нестандартний погляд на архітектуру систем і внутрішній «хист» до кібербезпеки — це те, що робить цифрову державу по-справжньому захищеною.

У фокусі роботи:
– проведення пентестів вебдодатків, API, мобільних застосунків та хмарних середовищ;
– імітація кібератак і моделювання загроз для виявлення критичних вразливостей;
– аналіз та документування знайдених вразливостей із рекомендаціями щодо їх усунення;
– автоматизація процесів тестування для підвищення ефективності роботи команди;
– проведення fuzz-тестування та реверс-інжинірингу цифрових продуктів;
– моніторинг актуальних кіберзагроз та адаптація тестових сценаріїв;
– взаємодія з внутрішніми командами проєктів екосистеми під час перевірок.

Від вас очікуємо:
– вища освіта (бакалаврський рівень або вище);
– 2+ роки досвіду проведення пентестів вебдодатків, API, мобільних застосунків або хмарних середовищ;
– ґрунтовні знання OWASP (Web, API, Mobile);
– впевнене володіння інструментами: Burp Suite, Nmap, Metasploit, Nessus, Nikto, Acunetix, Ghidra;
– знання інструментів мобільного пентесту (Frida, MobSF) та роботи з API (Postman);
– досвід роботи з Python, Bash або PowerShell для автоматизації задач;
– знання SQL та розуміння мережевих протоколів (TCP/IP, HTTP, HTTPS);
– досвід тестування RESTful та GraphQL API;
– вміння працювати з Docker та Kubernetes.

Буде плюсом:
– наявність сертифікацій у сфері кібербезпеки (OSCP, OSWE, CEH або аналогічних);
– досвід участі у програмах Bug Bounty або роботи з DevSecOps;
– досвід використання інструментів SAST/DAST, SIEM та систем логування.

Ми шукаємо талант, який:
– бачить систему нестандартно і знаходить те, що інші пропускають;
– має внутрішню пристрасть до кібербезпеки та постійно розвиває свої технічні навички;
– швидко переключається між різними типами задач — Web, Mobile, API, Cloud — без втрати якості. 

Ми пропонуємо:
– роботу в команді, що захищає продукти екосистеми, якими користуються мільйони українців;
– менторство від досвідчених колег з поступовим переходом до автономії в проєктах;
– гібридний формат роботи після адаптаційного періоду;
– реальні виклики: різноманітні проєкти з Web, Mobile, API та Cloud без нереальних дедлайнів;
– офіс з генератором та безперебійним інтернетом;
– бронювання працівників за умови актуального військового обліку.

Готові до виклику?
Ми шукаємо не просто технічного спеціаліста — ми шукаємо того, хто бачить вразливості там, де інші бачать лише код. Якщо кібербезпека для вас — це не робота, а покликання, приєднуйтесь до команди, яка щодня тримає цифровий щит для всієї країни.

Ми — Red Team, команда, яка стоїть на захисті цифрових продуктів, якими користуються мільйони українців щодня. Наша місія — знаходити вразливості, забезпечуючи надійність і стійкість всієї екосистеми Дії.

Наші цінності:
Ми віримо в інакШОмислення, що формує майбутнє та відкриває шлях до постійного розвитку. Клієнтоцентричність для нас — це відповідальність перед мільйонами користувачів, чия безпека залежить від якості нашої роботи. Ми діємо в культурі кооперації та відкритості, де доброчесність і прозорість є основою довіри всередині команди. А наша наполегливість дозволяє досягати найвищого рівня захисту.

Ваша основна місія:
Ваша роль — захист цифрової держави. Ви забезпечуєте надійність, безпеку та стійкість усіх продуктів екосистеми шляхом систематичного виявлення та усунення технічних вразливостей до того, як вони стануть загрозою. Ваш нестандартний погляд на архітектуру систем і внутрішній «хист» до кібербезпеки — це те, що робить цифрову державу по-справжньому захищеною.

У фокусі роботи:
– проведення пентестів вебдодатків, API, мобільних застосунків та хмарних середовищ;
– імітація кібератак і моделювання загроз для виявлення критичних вразливостей;
– аналіз та документування знайдених вразливостей із рекомендаціями щодо їх усунення;
– автоматизація процесів тестування для підвищення ефективності роботи команди;
– проведення fuzz-тестування та реверс-інжинірингу цифрових продуктів;
– моніторинг актуальних кіберзагроз та адаптація тестових сценаріїв;
– взаємодія з внутрішніми командами проєктів екосистеми під час перевірок.

Від вас очікуємо:
– вища освіта (бакалаврський рівень або вище);
– 2+ роки досвіду проведення пентестів вебдодатків, API, мобільних застосунків або хмарних середовищ;
– ґрунтовні знання OWASP (Web, API, Mobile);
– впевнене володіння інструментами: Burp Suite, Nmap, Metasploit, Nessus, Nikto, Acunetix, Ghidra;
– знання інструментів мобільного пентесту (Frida, MobSF) та роботи з API (Postman);
– досвід роботи з Python, Bash або PowerShell для автоматизації задач;
– знання SQL та розуміння мережевих протоколів (TCP/IP, HTTP, HTTPS);
– досвід тестування RESTful та GraphQL API;
– вміння працювати з Docker та Kubernetes.

Буде плюсом:
– наявність сертифікацій у сфері кібербезпеки (OSCP, OSWE, CEH або аналогічних);
– досвід участі у програмах Bug Bounty або роботи з DevSecOps;
– досвід використання інструментів SAST/DAST, SIEM та систем логування.

Ми шукаємо талант, який:
– бачить систему нестандартно і знаходить те, що інші пропускають;
– має внутрішню пристрасть до кібербезпеки та постійно розвиває свої технічні навички;
– швидко переключається між різними типами задач — Web, Mobile, API, Cloud — без втрати якості. 

Ми пропонуємо:
– роботу в команді, що захищає продукти екосистеми, якими користуються мільйони українців;
– менторство від досвідчених колег з поступовим переходом до автономії в проєктах;
– гібридний формат роботи після адаптаційного періоду;
– реальні виклики: різноманітні проєкти з Web, Mobile, API та Cloud без нереальних дедлайнів;
– офіс з генератором та безперебійним інтернетом;
– бронювання працівників за умови актуального військового обліку.

Готові до виклику?
Ми шукаємо не просто технічного спеціаліста — ми шукаємо того, хто бачить вразливості там, де інші бачать лише код. Якщо кібербезпека для вас — це не робота, а покликання, приєднуйтесь до команди, яка щодня тримає цифровий щит для всієї країни.

📌 Загальна інформація: 
Компанія: NDA. Приватна організація. Існує 4 роки. У складі має декілька великих проєктів, що вже прискорюють нашу перемогу. Нині відкрита вакансія під розширення відділу. 
Проєкт: NDA, MilTech, Cyber Security, OSINT. 

– Формат роботи: повна зайнятість, гнучкий графік. 
– Можливість поєднувати із навчанням чи власними проєктами. 
– Вітається волонтерська діяльність з ухилом на miltech-проєкти.

Шукаємо: початківця-пентестера з гарною технічною базою, умінням швидко навчатись та з реальним інтересом до cybersecurity. Великий комерційний досвід не потрібен. Головне — бажання розвиватися.
 

Технічні вимоги

• Базове розуміння TCP/IP, DNS, HTTP/HTTPS та основних мережевих протоколів.
• Базове розуміння Linux та Windows.
• Основи web та network security.
• Базове розуміння vulnerability assessment та penetration testing.
• Бажано початкове розуміння Active Directory.
• Вміння працювати з терміналом.
• Знайомство з Nmap, Burp Suite та іншими базовими pentest-інструментами.
• Базовий Python/Bash/PowerShell буде плюсом.
• Практика на Hack The Box / TryHackMe / CTF / домашніх лабораторіях — велика перевага.
• Вміння користуватися сучасними нейромережами та AI-агентами для навчання, досліджень, написання скриптів, автоматизації та вирішення pentest-завдань.
• Інтерес до автоматизації pentest та vulnerability research за допомогою AI.
• Бажання самостійно тестувати нові security/AI-інструменти.
   

Особисті вимоги

• Виконавчість: отримав завдання → зробив → відзвітував про результат.
• Не зникає і залишається на зв'язку в робочий час.
• Не сидить мовчки годинами/днями над блокером — намагається розібратися і своєчасно ставить конкретне питання.
• Не чекає, поки йому розжують кожну дію.
• Після пояснення робить висновки і не повторює постійно одні й ті самі помилки.
• Хоче швидко вирости у самостійного пентестера.

Умови роботи:

• Віддалена робота, повний формат зайнятості. 
• Гнучкий графік – самостійно плануєш свій день.
• Є можливість поєднувати з навчанням, власними проєктами.
• 20 оплачуваних робочих днів відпустки на рік.
• Реально крута команда, що може класно бустанути досвід. 
• Менторство, доступ до внутрішніх навчальних матеріалів, підтримка зростання.
• Доступ до готових RDP/VPS середовищ, інструментів та внутрішньої платформи.
  
  Етапи співбесід:
• Інтервʼю із рекрутером (30 хв)
• Технічна співбесіда з командою (45-60 хв)
• Фінальна співбесіда з Owner (30 хв)
• Offer

PS: будемо щиро вдячні за ваш коментар у супровідному листі щодо релевантності вимог вакансії.  

📌 Загальна інформація: 
Компанія: NDA. Приватна організація. Існує 4 роки. У складі має декілька великих проєктів, що вже прискорюють нашу перемогу. Нині відкрита вакансія під розширення відділу. 
Проєкт: NDA, MilTech, Cyber Security, OSINT. 

– Формат роботи: повна зайнятість, гнучкий графік. 
– Можливість поєднувати із навчанням чи власними проєктами. 
– Вітається волонтерська діяльність з ухилом на miltech-проєкти.

Важливо: не обовʼязково мати 100% фіт до вакансії. Команда готова вчити та пояснювати слабкі місця в рамках робочих задач. 
 

Технічні вимоги

• Впевнене розуміння TCP/IP, маршрутизації, DNS, DHCP, SMB, LDAP, Kerberos, NTLM, RDP, WinRM та основних мережевих сервісів.
• Гарне знання Windows / Active Directory та типових помилок конфігурації AD.
• Практичний досвід внутрішнього pentest: enumeration → пошук векторів → отримання доступу → privilege escalation → lateral movement → розвиток доступу.
• Розуміння AD attack paths, ACL/permissions, trusts, GPO, delegation та credential-based атак.
• Впевнена робота з Linux та Windows.
• Досвід роботи з інструментами інфраструктурного pentest та vulnerability assessment: Nmap, BloodHound, Impacket, NetExec/аналогами, Burp Suite, Metasploit тощо.
• Розуміння vulnerability management: пошук, перевірка, пріоритизація та підтвердження вразливостей; вміння відрізняти реальну вразливість від false positive.
• Базовий scripting: Python/Bash/PowerShell або здатність швидко автоматизувати рутинні дії.
• Обов'язкове розуміння сучасних AI/LLM-інструментів: використання нейромереж та AI-агентів для pentest/R&D, аналізу результатів, автоматизації reconnaissance/enumeration, обробки даних, написання допоміжних скриптів та прискорення роботи.
• Інтерес до agentic pentest та автоматизації security-процесів; здатність самостійно тестувати та впроваджувати нові інструменти.

Умови роботи:

• Віддалена робота, повний формат зайнятості. 
• Гнучкий графік – самостійно плануєш свій день.
• Є можливість поєднувати з навчанням, власними проєктами.
• 20 оплачуваних робочих днів відпустки на рік.
• Реально крута команда, що може класно бустанути досвід. 
• Менторство, доступ до внутрішніх навчальних матеріалів, підтримка зростання.
• Доступ до готових RDP/VPS середовищ, інструментів та внутрішньої платформи.
  
  Етапи співбесід:
• Інтервʼю із рекрутером (30 хв)
• Технічна співбесіда з командою (45-60 хв)
• Фінальна співбесіда з Owner (30 хв)
• Offer

PS: будемо щиро вдячні за ваш коментар у супровідному листі щодо релевантності вимог вакансії.  

Kitsoft — українська GovTech-компанія, яка допомагає створювати цифрові держави нового покоління. Ми понад 11 років розробляємо та впроваджуємо цифрові сервіси для мільйонів людей, змінюючи те, як громадяни взаємодіють із державою — швидко, зручно та прозоро.

Швидше за все, ти вже знаєш або користуєшся нашими продуктами: послуги на порталах Дія, Київ Цифровий, єПідприємець, цифрові державні сервіси для громад, бізнесу, військових і соціальної сфери. Наші рішення використовують понад 20+ мільйонів українців.

Окремий фокус — Liquio, наша AI-driven low-code платформа для створення та масштабування державних послуг. Саме на Liquio побудовані сотні сервісів в Україні, і сьогодні ми виводимо цю платформу на міжнародні ринки, допомагаючи іншим країнам запускати цифрові сервіси швидко, безпечно та відповідно до міжнародних стандартів. 

Ми масштабуємо український досвід цифрової стійкості у світ. У нас складні та амбітні проєкти, сильна команда, культура розвитку й реального впливу. 

Ми розширюємо команду кібербезпеки Kitsoft і формуємо напрям Red Team, який відповідатиме за практичну перевірку захищеності програмних продуктів, вебсервісів та інфраструктури.
Шукаємо спеціалістів, які вміють мислити як потенційний зловмисник, досліджувати складні технічні системи та перевіряти, наскільки ефективно реалізовані механізми їхнього захисту.

Що робить наш Penetration Tester / Red Team Specialist:

• Проводити penetration testing програмних продуктів: вебзастосунків, API, мобільних клієнтів та інших компонентів цифрових сервісів.
• Перевіряти захищеність інфраструктури, мережевих сервісів, конфігурацій серверів і хмарних компонентів.
• Розробляти та відтворювати сценарії атак для перевірки стійкості систем до реальних загроз.
• Досліджувати логіку роботи застосунків, механізми автентифікації й авторизації, керування сесіями та розмежування доступу.
• Виконувати ручний аналіз безпеки, перевіряти результати автоматизованого сканування та підтверджувати можливість експлуатації виявлених проблем.
• Готувати технічні звіти за результатами перевірок із доказами, оцінкою ризиків і практичними рекомендаціями щодо виправлення.
• Розробляти скрипти та вдосконалювати інструменти, що автоматизують повторювані завдання під час тестування.
• Відстежувати нові техніки атак, вразливості та експлойти, застосовувати їх для актуалізації методик перевірки.
• Співпрацювати з командами розробки, DevOps та інфраструктури під час аналізу результатів і повторної перевірки виправлень.
• Брати участь у розвитку методології offensive security та процесів перевірки захищеності в компанії.

Які професійні навички і досвід важливі:

• Від 2 років практичного досвіду у penetration testing, application security або суміжному напрямі.
• Розуміння методологій тестування безпеки та вміння самостійно проводити перевірки, а не лише запускати автоматизовані сканери.
• Практичний досвід пошуку й експлуатації вразливостей у вебзастосунках та API, зокрема проблем контролю доступу, ін'єкцій, обходу механізмів захисту й помилок бізнес-логіки.
• Знання підходів OWASP до оцінювання безпеки вебзастосунків та API.
• Досвід роботи з Burp Suite або аналогічними інструментами аналізу HTTP-трафіку та тестування вебзастосунків.
• Навички використання Nmap та інших інструментів дослідження мережевих сервісів і поверхні атаки.
• Володіння Python, Bash або іншою мовою сценаріїв для написання допоміжних інструментів та автоматизації перевірок.
• Розуміння принципів роботи HTTP/HTTPS, TCP/IP, DNS, SQL та механізмів автентифікації й авторизації.
• Здатність аналізувати технічні результати, визначати реальний вплив вразливостей і зрозуміло пояснювати ризики.
• Уміння документувати результати роботи та аргументовано обґрунтовувати рекомендації.

Буде плюсом:

• Досвід тестування мобільних застосунків Android та iOS.
• Практика оцінювання безпеки Docker, Kubernetes, Linux-систем і хмарної інфраструктури.
• Досвід реверс-інжинірингу, аналізу бінарних файлів або fuzz-тестування.
• Знання інструментів Metasploit, Frida, MobSF, Ghidra та засобів автоматизованого сканування.
• Досвід тестування REST API та GraphQL, включно зі складними сценаріями контролю доступу.
• Участь у Bug Bounty, CTF, дослідницьких проєктах або публікація власних технічних досліджень.
• Знайомство з процесами Secure SDLC, DevSecOps та інструментами SAST/DAST/SCA.
• Наявність профільних сертифікацій, наприклад OSCP, PNPT, CRTO або аналогічних.

Як проходить відбір кандидатів:

• Надсилай своє резюме у відповідь на цю вакансію. 

• Важливо: ми не надаємо фідбек на етапі розгляду резюме. 

• Якщо твоє резюме буде відповідати вимогам, наш рекрутер напише тобі, за потреби уточнить інформацію та запросить на співбесіду.

• Співбесіда проходить в Google Meet та має 2 етапи: 

1. Інтерв’ю з рекрутером (60 хв). Перевіряємо наскільки ми з тобою підходимо по цінностях та наявність необхідних компетенцій

2. Технічне інтерв’ю з керівником — Head of Information Security (60 хв). Фокус на навичках, щоб зрозуміти технічний рівень, знання, необхідні hard і soft скіли.

Умови роботи:

• Випробувальний термін — 3 місяці.

• Графік роботи гнучкий та залежить від команди, переважно з 09:30 до 18:30.

• Можна працювати з офісу (коворкінг за адресою м. Київ, вулиця Князів Острозьких, 32/2, м. Арсенальна) або дистанційно. Немає вимог до територіального розміщення кандидата, але перевагою є м.Київ

• Відпустка 24 календарних дні + святкові вихідні дні від компанії (у військовий час визначили 4 святкових вихідні: Великдень, День захисників і захисниць, Різдво, Новий рік)

• 5 лікарняних днів в рік без довідки від лікаря. З довідкою кількість днів необмежена, але звісно ж краще, щоб всі були здорові

• Підтримуємо навчання та підвищення кваліфікації: є план індивідуального розвитку та компенсація 70% вартості зовнішнього навчання. 

• Додаткова підтримка: частково компенсуємо витрати на заняття спортом, послуги психолога, а також надаємо матеріальну підтримку і три вихідні у необхідні моменти життя.

Приєднуйся до Kitsoft і створюй соціально-важливі цифрові послуги для урядів разом з нами!