Pavlo

ПАВЛО СВІЗІНСЬКИЙ
Penetration Tester · Application Security Engineer
Тернопіль, Україна · Віддалено / Київ [open contact info](look above in the "contact info" section) Telegram @an404on · [open contact info](look above in the "contact info" section)

LinkedIn: [open contact info](look above in the "contact info" section) · Портфоліо: vapan.org · Блог: @vapan_it (Instagram, YouTube) · Сертифікати:
credly.com/users/pavlo-svizinskiy/badges

ПРО МЕНЕ
Спеціаліст з безпеки з досвідом розробки: 4 роки бекенду на Node.js / TypeScript і 2+ роки в кібербезпеці.
Тестую веб- і API-застосунки з позиції зловмисника — шукаю вади авторизації, бізнес-логіки, ін'єкції. А
оскільки сам пишу бекенд, вбудовую безпеку в процес розробки (SAST / SCA / пошук секретів /
сканування контейнерів у CI/CD). 2 прийняті звіти в національній програмі Bug Bounty Prozorro; практика
red team (OSINT, авторизовані фішингові симуляції, C2); тестування безпеки LLM-застосунків і AI-агентів;
співорганізатор всеукраїнського CTF Junior League. Впевнено працюю в Linux, Windows та Android, у
командному рядку, пишу скрипти на Python і Bash.
НАВИЧКИ

Тестування на проникнення: веб та API (OWASP
WSTG, API Top 10) — BOLA / IDOR, BFLA, вади
Інструменти: Burp Suite Pro, Nmap, Metasploit,
бізнес-логіки, race conditions, SSRF, SQL / command
SQLmap, OWASP ZAP, Nikto, Frida.
injection, JWT / OAuth, WebSocket. Android: jadx,
apktool, Frida, Objection, обхід SSL pinning.

Red team та OSINT: картографування поверхні атаки
Реверс-інжиніринг: аналіз і деобфускація JavaScript (CT-логи, favicon hashing, Google Dorking),
(клієнтська логіка вебзастосунків), декомпіляція авторизовані фішингові симуляції, pretexting, власні
Android-застосунків. (самописні) C2-фреймворки, кастомні пейлоади
(Python / JS / C++).

DevSecOps / SSDLC: security gates у GitLab CI /
Безпека LLM / AI: тестування LLM-застосунків і AI-
GitHub Actions — Semgrep (SAST), Snyk (SCA),
агентів за OWASP Top 10 for LLM — prompt injection,
Gitleaks (секрети), Trivy (контейнери / образи); Security
витік даних через модель, надмірні права агентів та
Code Review; Threat Modeling (STRIDE); оцінка за
інструментів (MCP).
CVSS.

ОС і мережі: Linux (Ubuntu / Debian), Windows, Програмування: Node.js, TypeScript, JavaScript,
Android; TCP/IP, DNS, HTTP/S, маршрутизація, Python, Bash, C# / C++; PostgreSQL, MongoDB, Redis;
основні типи атак і методи захисту; Nginx, Cloudflare Docker; основи GCP, ознайомлений з концепціями
WAF. AWS / Azure. Основи прикладної криптографії.

Стандарти: OWASP Top 10, ASVS, API Security Top 10, MASVS, PTES; ознайомлений із Secure SDLC, NIST
SSDF.

ДОСВІД РОБОТИ
Засновник і Security Engineer — Vapan Studio (vapan.org) · червень 2025 — дотепер · Віддалено
Веду оффенсив-напрям студії: тестування веб / API / Android за OWASP WSTG / MASVS на лабораторних і
власних цілях, OSINT-картографування поверхні атаки, авторизовані фішингові та red-team сценарії з власним
(самописним) C2.
Забезпечую обов'язкові пре-релізні перевірки безпеки для власних вебпродуктів студії (Node.js, TypeScript,
Vue / Nuxt): Security Code Review — перевірка прав доступу, обробки вводу та бізнес-логіки.
Налаштував security gates у CI/CD — Semgrep, Snyk, Gitleaks і Trivy запускаються на кожному merge request і
блокують нові вразливості високого рівня.
Декомпілював Android-клієнти (jadx, apktool) і обходив SSL pinning (Frida / Objection) для відновлення
недокументованих API-протоколів і перевірки серверної авторизації.
Веду блог з кібербезпеки в Instagram і YouTube (@vapan_it) — розбираю хакерські атаки та оффенсив-теми
для широкої аудиторії (напр. розбір атаки на АТБ, обхід SSL pinning, експлуатація race condition у кошику з
виправленням на рівні БД, розвідка піддоменів через favicon hashing і CT-логи).
Дослідник безпеки — Національна програма Bug Bounty Prozorro · 2026
2 прийняті звіти (1 High, 1 Low) на продакшн-поверхні платформи державних закупівель Prozorro: вади
авторизації та бізнес-логіки, з кроками відтворення та оцінкою за CVSS.
Співзасновник і Full-Stack розробник — AiFinPay (aifinpay.io) · квітень 2026 — дотепер · Віддалено
Як full-stack розробник побудував платіжну інфраструктуру HTTP 402 / x402 для автономних AI-агентів із
підтримкою 13 блокчейн-мереж (бекенд, клієнт, деплой); розробив і опублікував SDK — npm-пакет
@aifinpay/agent.
Спроєктував MCP-сервери, що надають платіжні API для LLM-агентів із чіткими межами авторизації між
моделлю та обробниками транзакцій.
Backend / Full-Stack розробник — Фріланс і контракти · 2022 — дотепер · Віддалено
4 роки розробки: вебсайти, Telegram-боти та інший софт; REST і WebSocket API на Node.js / TypeScript з JWT,
RBAC і rate limiting; інтеграція платіжних систем.
Адміністрував Linux-сервери: Nginx, TLS / SSL, Cloudflare WAF, VPS і GCP; автоматизація на Python і Bash.
Досвід розробки допомагає розуміти, як влаштовані застосунки зсередини, і де в них виникають вади бізнес-
логіки та авторизації.
Співорганізатор — CTF Junior League (ctfjunior.com.ua) · 2026 · Київ
Разом із командою блогу Vapan виступив співорганізатором всеукраїнського юнацького змагання з
кібербезпеки (14–19 років) — від онлайн-кваліфікації до офлайн-фіналу в Києві.

КВАЛІФІКАЦІЇ
СЕРТИФІКАЦІЇ ОСВІТА МОВИ
Cisco CyberOps Associate (2026) · Бакалавр з кібербезпеки (навчаюсь, Українська — рідна · Англійська —
Cisco Junior Cybersecurity Analyst 2024 — 2028) — Західноукраїнський B1
Career Path (2025) національний університет, Тернопіль
Перевірка: credly.com/users/pavlo-
svizinskiy/badges