Хакер. Кардинг. Антифрод. Путь в кибербезопасность

Чем занимается

QA-инженер проверяет продукт до того, как с ним столкнётся пользователь. Его задача — найти все способы, которыми приложение может сломаться, и сообщить об этом разработчикам. Это часто первая точка входа в технические профессии без необходимости программировать.

Один день QA-инженера

Релиз выходит завтра утром. Инженер получает сборку вечером и должен за несколько часов понять, что в ней могло сломаться. В задаче написано «проверить форму оплаты». На практике это означает: ввести отрицательную сумму, оставить поля пустыми, отправить форму дважды подряд, оборвать соединение на середине запроса и посмотреть, спишутся ли деньги.

Хороший тестировщик думает не «как это должно работать», а «как это может сломаться». Именно этот навык: держать в голове нестандартный сценарий, пока все вокруг проверяют стандартный, и есть качество из первой главы, превращённое в профессию.

Какие навыки ценятся

• Скрупулёзность и системное мышление.

• Умение чётко описать ошибку: шаги воспроизведения, ожидаемый и фактический результат.

• Основы тест-дизайна: как составлять проверки так, чтобы покрыть как можно больше сценариев.

• На следующем уровне: автоматизация тестирования и базовое программирование.

Как войти без опыта

Через курсы по ручному тестированию (обычно два-четыре месяца), практику на открытых проектах и демонстрационных сайтах и тестовые задания. Многие компании берут людей из совсем других профессий, если те показывают внимательность и логику.

Куда расти

В автоматизацию тестирования, в лидеры QA-команд, в тестирование безопасности и дальше в кибербезопасность. QA часто становится трамплином в другие направления.

Чем занимается

Такие специалисты разбирают спорные списания, недошедшие платежи, блокировки карт и признаки компрометации счетов. Здесь важно понимать, как деньги движутся между банками, платёжными шлюзами и магазинами, и видеть нетипичные случаи.

Один день специалиста

Клиент пишет: деньги списались, а товар не пришёл. Специалист открывает цепочку платежа: банк клиента, платёжный шлюз, счёт магазина. В большинстве случаев это простая задержка у банка-получателя. Но иногда цепочка выглядит странно: деньги ушли не в магазин, а на счёт, который час назад ещё не существовал. Тогда специалист видит в этом не частность, а сигнал для антифрода, и передаёт случай дальше с подробным описанием.

Какие навыки ценятся

• Понимание, как устроены платёжные цепочки.

• Вежливая и ясная коммуникация с клиентами, в том числе в стрессовых ситуациях.

• Аккуратность в документировании обращений.

• Умение вовремя эскалировать нестандартный случай.

Как войти без опыта

Это одна из самых доступных точек входа: вакансии в поддержке и операционных отделах банков и платёжных систем открыты постоянно. Достаточно внимательности, грамотной речи и готовности учиться. Через год-два человек может перейти в антифрод, расследования или комплаенс.

Чем занимается

Компании официально публикуют правила, по которым исследователи могут искать уязвимости в их сервисах и получать за найденные вознаграждение. Эти программы называются баг-баунти. Работа идёт строго в рамках правил программы: что можно проверять, а что нельзя, как сообщать о находке и сколько за неё платят.

Один день хантера

У него нет расписания в привычном смысле. Он выбирает программу, внимательно читает её правила и начинает методично изучать сервис: как устроена авторизация, что происходит при смене пароля, как приложение обрабатывает необычные данные. Основная часть времени уходит не на яркие находки, а на рутину: чтение документации, повторение проверок с небольшими изменениями, ведение записей о том, что уже проверено.

Отчёт об уязвимости пишется по строгой форме: как воспроизвести, что происходит, к чему это может привести, как исправить. Отчёт без чёткого воспроизведения отклоняют, и потраченное время не оплачивается. Поэтому качество описания здесь не менее важно, чем сама находка.

Какие навыки ценятся

• Техническая сообразительность и терпение.

• Знание типовых классов уязвимостей веб-приложений и способов их проверки на разрешённых системах.

• Умение чётко и коротко писать отчёты.

• Дисциплина: соблюдать правила программы, не выходить за её рамки.

Как войти без опыта

Начните с обучения на учебных площадках и соревнований, потом переходите к публичным программам российских и международных платформ. Выплаты за находки нерегулярны, поэтому на старте это дополнение к основной работе, а не источник стабильного дохода. Хантеры, показавшие себя, часто получают предложения о работе от самих компаний.

Чем занимается

Эти специалисты смотрят на операции с точки зрения закона о противодействии отмыванию денег (AML, от «anti-money laundering»). Они строят правила, по которым банки и финтех-компании распознают подозрительные цепочки переводов, и следят, чтобы компания соблюдала требования регуляторов.

Один день специалиста

Его рабочий день состоит из очереди операций, которые система отметила автоматически: слишком крупный перевод для профиля клиента, серия операций чуть ниже порога обязательного контроля, деньги из страны с высоким риском. По каждой нужно решить: обычная активность или признак схемы, о которой следует сообщить регулятору.

Ошибка в любую сторону стоит дорого: пропущенная схема означает штраф для банка, а лишняя блокировка честного клиента вредит репутации сервиса. Поэтому AML-специалисты с опытом ценятся высоко: способность быстро различать пятьдесят похожих операций это тот же навык распознавания паттернов, что и в антифроде, только применённый к другому типу данных и юридическому контексту.

Какие навыки ценятся

• Внимательность и аналитическое мышление.

• Понимание нормативной базы или готовность её изучать.

• Умение обосновать решение письменно и в разговоре с регулятором.

• Знание Excel, базовый SQL на следующем уровне.

Как войти без опыта

Часто через юридический, финансовый или операционный отдел банка. Подходят и люди из смежных профессий: бухгалтеры, юристы, аудиторы. Помогают профильные курсы по AML и комплаенсу.

Рекрутер в антифроде или кибербезопасности редко ищет в резюме просто слово «опыт». Гораздо больше его интересуют конкретные примеры: как человек самостоятельно разобрался в незнакомом сервисе, нашёл в нём ошибку, которую никто не заметил, выучил основы анализа данных по открытым курсам и применил их.

Что писать

• Результаты, а не обязанности: «нашёл и описал 12 ошибок в демо-приложении» лучше, чем «занимался тестированием».

• Учебные проекты и участие в соревнованиях CTF: они показывают инициативу.

• Курсы и сертификаты с датами.

• Опыт из других профессий, где вы применяли внимательность, аналитику или работу с людьми.

Чего избегать

• Общих слов «ответственный, внимательный, быстро обучаюсь» без примеров.

• Перечня технологий, которых вы не знаете: на собеседовании это быстро выясняется.

• Описания любых действий в чужих системах без разрешения: для работодателя это тревожный сигнал.

Каких кандидатов реально берут

Диплом по профильному направлению важен гораздо меньше, чем способность пройти тестовое задание на логику и внимательность. Типичное задание для джуниора-аналитика: дают таблицу с несколькими десятками транзакций и просят найти подозрительные без подсказок. Задача не в том, чтобы угадать «правильный» ответ, а в том, чтобы показать ход мысли: почему именно эти строки вызывают вопросы. Многие компании берут людей из других сфер, например бывших бухгалтеров, юристов, даже учителей, если у человека видна склонность думать системно.

Как проходит собеседование

Обычно оно состоит из трёх этапов. Сначала короткий звонок с HR на пятнадцать минут: мотивация, ожидания по зарплате. Затем техническое или кейс-интервью с будущим руководителем: нужно разобрать практический случай вслух и объяснить своё решение. Здесь важнее логика рассуждения, чем единственно верный ответ. Наконец, финальное собеседование с руководителем отдела или директором по безопасности, где обсуждают направление развития и команду. Вся цепочка занимает от двух до четырёх недель.

Ошибки, которые стоят дорого

Самая частая ошибка кандидата без опыта — пытаться звучать увереннее, чем он есть. Опытный интервьюер сразу слышит, когда незнание прикрывают уверенной интонацией. Гораздо лучше работает честность: сказать, чего вы не знаете, и показать, как стали бы разбираться. Это качество часто важнее для найма, чем знание терминов наизусть.

Вопросы, которые стоит подготовить

• Расскажите о случае, когда вы заметили то, чего не заметили другие.

• Как вы поступите, если не уверены в решении, а время ограничено?

• Почему вам интересно именно это направление?

• Как вы будете учиться в первые полгода?