Детали

Грейд

Senior

Формат работы

Гибрид

Тип занятости

Полная занятость

Уровень английского

B2, выше среднего

Сопроводительное письмо к вакансии

Письмо на почту или сообщение рекрутеру в Telegram

О вакансии

Это компания, созданная для роста.

Присоединяясь к exmox, вы выходите на глобальную, высококонкурентную арену, решаете реальные проблемы в условиях, которые выталкивают вас за пределы зоны комфорта. Мы действуем быстро, отсекаем шум и сосредотачиваемся на том, что действительно важно, потому что в нашей отрасли скорость решает.

С более чем 50 миллионами загрузок платформы мы стремительно масштабируем одно из самых захватывающих нововведений в мобильном гейминге: платформу вознаграждений за взаимодействие и привлечение пользователей, которая помогает игрокам находить игры, которые им нравятся, и взаимодействовать с ними, создавая долгосрочную ценность как для игроков, так и для игровых студий.

exmox выплачивает реальные деньги реальным пользователям, и это формирует нашу позицию в области безопасности. В качестве Senior Security Engineer, Anti-Abuse (f/m/x) вы будете первым выделенным специалистом по безопасности, входящим в команду Platform Engineering, и будете полностью отвечать за направление безопасности в облачной среде AWS, работающей в масштабе. Это не консультативная или реактивная роль: вы будете проектировать, прототипировать и развивать средства защиты, которые оберегают нашу платежную экосистему от сквозных злоупотреблений, а также определять, как мы будем справляться с поверхностью угроз, которую ИИ расширяет с обеих сторон: дешевые адаптивные инструменты для атак и модель доверия вокруг ИИ-агентов для написания кода в нашем собственном рабочем процессе разработки.

Если вас привлекают сложные системы, большой трафик, принятие решений на основе данных и возможность расти, решая сложные задачи, мы хотим услышать вас.

AWS, K8s, Terraform, GitLab CI, Python (FastAPI), Go, TypeScript, Apollo Federation GraphQL, Nuxt, Flutter, Datadog, биометрическая проверка жизнеспособности, Databricks.

Как мы побеждаем

Скорость — это функция. Скорость превосходит ракетную науку. Мы действуем быстро, тестируем быстро и умножаем свой темп с помощью ИИ, потому что действие создает информацию, а маленькие победы накапливаются. Быстрый провал — это урок, из которого мы учимся, медленный — это проблема, которую мы не можем себе позволить
Сосредоточьтесь на важном. Сделанное лучше, чем идеальное. Мы сосредоточены на том, что действительно продвигает нас вперед, и защищаем время людей от всего, что не способствует этому. Мы прямолинейны в общении, без лишних слов, без ненужных деталей
Вижу. Владею. Решаю. Тот, кто первым видит проблему, лучше всего подходит для ее решения. Мы — не место для комфорта, мы — место для деятелей. «Не моя работа» — этого нет в нашем словаре; если вы что-то заметили, вы поможете обеспечить решение проблемы
Уважайте других. Доверие умножается. Уважение — не подлежит обсуждению. Мы спорим об идеях, но никогда — о людях. Доверие здесь строится так же, как и везде: последовательностью, благодарностью, внимательным выслушиванием и признанием своих ошибок

Задачи

Безопасность приложений: Безопасное проектирование и обзор кода для служб GraphQL, Python и Go, выявление логических ошибок, нарушений границ доверия и пробелов в авторизации, а также моделирование угроз с продуктовыми командами во время уточнения требований, а не после
Атакующее тестирование: Практическое тестирование наших потоков аутентификации, сеансов и выплат до выпуска и до проведения внешнего тестирования, а не только после
Предотвращение злоупотреблений и мошенничества: Защита от ботов, подбора учетных данных, захвата аккаунтов, мультиаккаунтинга и мошенничества с выплатами, работая совместно с нашей командой по борьбе с мошенничеством над индивидуальными средствами контроля, многоэтапной верификацией, а также сигналами устройств и сеансов
Защита на границе сети (Edge defense): Полная ответственность за AWS WAF, от управляемых и пользовательских групп правил, правил ограничения скорости и защиты от ботов до цикла настройки, а также CloudFront, защита источника и состояние защиты от DDoS по мере перехода к многорегиональной границе сети
Обнаружение и реагирование: Превращение полного логирования WAF и надежного покрытия Datadog в реально срабатывающие оповещения о безопасности, а также управление инцидентами безопасности посредством технического реагирования, анализа постмортем и последующих действий
Безопасность в SDLC и облаке: Создание CI-ворот, которые разработчики не обходят (обнаружение секретов, сканирование зависимостей и контейнеров, SBOM), внедрение безопасных настроек по умолчанию в общих модулях Helm и Terraform, а также реализация облачных и Kubernetes-контролей в виде кода
Соответствие требованиям и обеспечение качества: Координация внешнего тестирования на проникновение и проведение исправлений, а также обеспечение готовности к ISO 27001 и инженерия, смежная с GDPR, как инженерная задача: сопоставление контролей с тем, что мы уже делаем, и автоматизация доказательств

Требования

Инженерный опыт: Вы пишете код, желательно на Python и TypeScript (Go — плюс), и можете прочитать незнакомый сервис и найти логическую ошибку, которую не обнаружит ни один сканер
Глубокие знания безопасности приложений: Вы разбираетесь в проектировании аутентификации и сеансов, авторизации и границах доверия, безопасности API и GraphQL, классах инъекций и управлении секретами. Вы исправляли эти ошибки, а не просто сообщали о них, и проверяете контроль, пытаясь сломать его самостоятельно
Враждебный трафик: У вас есть реальный опыт борьбы с ботами, подбором учетных данных, захватом аккаунтов, ограничением скорости в масштабе или давлением мошенников в любой области, где кто-то активно действует против вас. Вы думаете о том, где атака действительно окупается, и разрабатываете контроли, которые делают ее невыгодной
AWS WAF и инженерия обнаружения: Вы писали и настраивали пользовательские правила WAF, справлялись с ложными срабатываниями в отношении реальных пользователей, и можете перейти от необработанных журналов к рабочему оповещению, используя SQL/Athena или эквивалент и Datadog или сопоставимые инструменты
AWS и Kubernetes: Вы владеете ими достаточно хорошо, чтобы самостоятельно реализовать контроли в Terraform и быть авторитетным участником обсуждения дизайна платформы
Влияние и ответственность: Вы можете написать документ с описанием дизайна, который будут читать разработчики, не соглашаться без эскалации конфликта и объяснять риски руководству в денежном выражении. Вы управляли инцидентами с реальным влиянием на клиентов и комфортно себя чувствуете, будучи единственным специалистом по безопасности, определяя приоритеты и часто говоря «пока нет»

Будет плюсом

Приветствуется: Опыт работы с ISO 27001 или SOC 2 в качестве исполнителя, опыт работы на маркетплейсах, в финтехе, гейминге или ad-tech (мобильная атрибуция — бонус), policy-as-code (Kyverno, OPA) и сертификаты, такие как AWS Security Specialty, CKS или OSCP

Условия

Место работы: Гамбург, Германия

Тип занятости: Полная занятость

Льготы, которые помогают вам сосредоточиться на главном. Транспортная субсидия, бюджет на обучение, оздоровительный и тренажерный зал, рабочие поездки, еженедельные командные обеды и многое другое. Льготы отличные, но настоящая причина, по которой люди приходят и остаются, — это вызов, ответственность и стремление победить вместе

Обратите внимание: это не позиция только для удаленной работы. Мы предлагаем вам гибкую гибридную модель работы здесь, в Гамбурге, Германия — работа из дома по понедельникам и пятницам, посещение офиса во вторник, среду и четверг!

Location: Hamburg, Germany

Employment type: Full-time

Your Mission

This is a company built for growth.

When you join exmox, you're stepping onto a global, highly competitive playing field, solving real problems in environments that push you beyond your comfort zone. We move fast, cut the noise, and focus on what actually matters, because in our industry, speed wins.

With 50M+ platform downloads, we’re rapidly scaling one of the most exciting innovations in mobile gaming: a rewarded user engagement and acquisition platform that helps players discover, and engage with games they enjoy - creating lasting value for both players and gaming studios.

exmox pays out real money to real users, and that shapes our security posture. As Senior Security Engineer, Anti-Abuse (f/m/x), you'll be the first dedicated security hire, sitting inside the Platform Engineering team and owning the security vertical end to end in a cloud-native AWS environment running at scale. This isn't an advisory or reactive role: you'll design, prototype and incubate the defences that protect our payout ecosystem against cross-cutting abuse, and define how we handle a threat surface that AI is widening on both sides: cheap adaptive attack tooling, and the trust model around the AI coding agents in our own development workflow.

If you're excited by complex systems, high traffic, data-driven decisions, and the chance to grow by solving challenging problems, we want to hear from you.

What You’ll Own

Application security: Secure design and code review across GraphQL, Python and Go services, finding logic flaws, broken trust boundaries, and authorization gaps, plus threat modelling with product teams during refinement, not after.
Offensive testing: Hands-on testing of our own auth, session, and payout flows, before a release and before an external test, not only after.
Abuse and fraud prevention: Defend against bots, credential stuffing, account takeover, multi-accounting, and payout fraud, working alongside our fraud team on per-account controls, step-up verification, and device and session signals.
Edge defense: Own AWS WAF end to end, from managed and custom rule groups, rate-based rules and bot mitigation to the tuning loop that goes with it, plus CloudFront, origin protection, and DDoS posture as we move to a multi-region edge.
Detection and response: Turn our full WAF logging and strong Datadog coverage into security detections that actually fire, and lead security incidents through technical response, postmortem, and follow-ups.
Security in the SDLC and cloud: Build CI gates developers don't route around (secret detection, dependency and container scanning, SBOM), ship secure defaults in shared Helm and Terraform modules, and implement cloud and Kubernetes controls as code.
Compliance and assurance: Coordinate external penetration testing and drive remediation, and own ISO 27001 readiness and GDPR-adjacent engineering as an engineering problem: mapping controls to what we already do and automating the evidence.

What You Bring

Engineering background: You write code, ideally Python and TypeScript (Go is a plus), and can read an unfamiliar service and find the logic flaw no scanner will catch.
Application security depth: You know authentication and session design, authorization and trust boundaries, API and GraphQL security, injection classes, and secrets handling. You've fixed these bugs, not just filed them, and you validate a control by trying to break it yourself.
Adversarial traffic: You have real experience with bot mitigation, credential stuffing, account takeover, rate limiting at scale, or fraud pressure, in any domain where someone is actively working against you. You think about where an attack actually pays off and design controls that make it not worth running.
AWS WAF and detection engineering: You've written and tuned custom WAF rules, handled false positives against real users, and can go from raw logs to a working alert using SQL/Athena or equivalent and Datadog or comparable tooling.
AWS and Kubernetes: You're fluent enough to implement controls yourself in Terraform and be credible in a Platform design review.
Influence and ownership: You can write a design doc developers read, disagree without it becoming a standoff, and explain risk to leadership in terms of money. You've handled incidents with real customer impact, and you're comfortable being the only security person, sequencing priorities and saying "not yet" often.
Nice to have: ISO 27001 or SOC 2 experience as an implementer, a marketplace, fintech, gaming, or ad-tech background (mobile attribution is a bonus), policy-as-code (Kyverno, OPA), and certifications such as AWS Security Specialty, CKS, or OSCP.

Our Stack

AWS, K8s, Terraform, GitLab CI, Python (FastAPI), Go, TypeScript, Apollo Federation GraphQL, Nuxt, Flutter, Datadog, biometric liveness verification, Databricks.

How We Win

Speed is the feature. Speed beats rocket science. We move fast, test fast, and multiply our pace with AI, because action creates information and small wins compound. A fast failure is a lesson we learn from, a slow one is a problem we can't afford.
Focus on the essential. Done is better than perfect. We stay focused on what actually moves us forward and protect people's time from anything that doesn't. We're direct in how we communicate too, no rambling, no unnecessary detail.
See it. Own it. Solve it. The first to see it is best placed to fix it. We're not a place for comfort, we're a place for doers. "Not my job" isn't in our vocabulary, if you spot something, you help make sure it gets solved.
Respect others. Trust multiplies. Respect is non-negotiable. We disagree with ideas, never with people. Trust here is built the same way it is anywhere, through consistency, a thank you, a moment of listening, and owning your mistakes.
Perks that help you focus on what matters. Transport subsidy, learning budget, wellness and gym, workation, bi-weekly team lunches, and more. The perks are great, but the real reason people join and stay is the challenge, the ownership, and the drive to win together.

Please note: this is not a remote only position, we offer you a flexible hybrid model here in Hamburg, Germany - working from home on Mondays & Fridays, coming to the office on Tuesday, Wednesday & Thursday!

Подходит ли тебе эта вакансия?

Сравним навыки, грейд, формат работы и зарплату

Ключевые навыки

AWS
AWS WAF
Kubernetes
Terraform
GitLab CI
Python
TypeScript
Go
GraphQL
Apollo
FastAPI
CloudFront
Datadog
Databricks
Nuxt.js
Flutter
Helm
SQL
Athena
ISO 27001:2022
SOC2
Kyverno
Open Policy Agent
OSCP

Оценка зарплаты

85 100EURв год

Чаще всего от 80 900 до 94 400