Заработок для хакера. Полностью переработанное издание 2025—2026

Миф 5. «Искусственный интеллект скоро заменит пентестеров»

Как это продают: «LLM-модели (типа ChatGPT или Claude) уже умеют писать код и находить уязвимости. Через пару лет хакеры будут не нужны, ИИ всё автоматизирует».

Реальность: ИИ заменит не хакеров. ИИ заменит хакеров, которые не используют ИИ.

Да, базовый сканирующий макак-труд стремительно обесценивается. Если вся твоя работа заключается в том, чтобы запустить Nessus, выгрузить PDF-отчёт и отправить клиенту — у меня для тебя плохие новости, ты уже безработный.

Но ИИ не умеет понимать бизнес-контекст. LLM может найти SQL-инъекцию в куске кода, но она не поймёт, что перевод денег с отрицательным значением баланса на бонусный счёт в рамках конкретной программы лояльности ритейлера — это критическая уязвимость бизнес-логики.

Более того, ИИ сам по себе стал новой гигантской поверхностью для атак (Attack Surface). Кто-то должен тестировать эти модели на prompt injection, отравление данных (data poisoning) и утечку конфиденциальной информации. Спрос на AI Red Teaming сейчас бьёт все рекорды. Тот, кто разберётся в этом первым, будет диктовать свои цены рынку.

Миф 6. «Клиентам нужен взлом. Чем круче взлом — тем больше платят»

Как это продают: «Я получил root-права на контроллере домена за два часа! Заказчик должен быть в экстазе и завалить меня деньгами!»

Реальность: Заказчику плевать на твой root. Заказчику нужен понятный отчёт о том, как закрыть дыру до того, как в неё пролезут плохие парни.

Это самая болезненная иллюзия начинающих пентестеров. Ты продаёшь не взлом. Ты продаёшь отчёт и рекомендации.

Если ты разнёс инфраструктуру банка за час, но потом написал невнятный отчёт на три страницы без шагов воспроизведения (Steps to Reproduce) и с рекомендациями уровня «обновите Windows» — ты сработал в минус. Клиент не может передать это админам в работу. В следующий раз наймут не тебя, а зануду, который ломал неделю, но выдал идеальный 50-страничный документ с Executive Summary для директора и чёткими инструкциями для IT-отдела.

Деньги в ИБ платят за снижение рисков, а не за демонстрацию твоего эго.

Подводим итог раздела

Кибербезопасность — это не магия. Это ремесло. Такое же, как инженерия, архитектура или юриспруденция.

Здесь работают те же законы капитализма:

Если ты делаешь то, что умеют делать миллионы школьников по туториалам с YouTube (запустить скрипт) — тебе будут платить копейки.

Если ты решаешь сложные, нестандартные задачи, берёшь на себя ответственность и умеешь переводить технический сленг на язык бизнеса и денег — твой чек не имеет потолка.

Хватит верить в сказки про лёгкие миллионы из даркнета или волшебные кнопки «Взломать всё». Пора относиться к своим навыкам как к бизнес-активу. В следующих главах мы начнём разбирать этот актив на винтики и смотреть, как именно его продавать.

Практическое задание

Инвентаризация иллюзий.

Открой свой файл «Мой хакерский трек» (который ты создал в предыдущем задании).

Напиши заголовок «Мои иллюзии».

Честно выпиши 3—5 мифов или стереотипов об ИБ, в которые ты верил до прочтения этой главы. Возможно, ты думал, что Bug Bounty даст тебе первые 1000$ через неделю? Или что без знания Ассемблера не стоит лезть в веб-пентест?

Рядом с каждым пунктом напиши, как это знание ограничивало тебя в действиях (например: «Думал, что нужен OSCP -> не откликался на вакансии джунов»).

Осознание того, где ты обманывал сам себя — первый шаг к реальным деньгам.

Часть I: Фундамент — кто ты и сколько стоишь

Глава 1. Портрет современного хакера-профессионала

— Спектр от Script Kiddie до Senior Researcher: где деньги?

В IT-индустрии привыкли мерить людей линейкой «Junior — Middle — Senior». Это удобно для HR-ов, которые закупают программистов на галеры. Но в кибербезопасности, особенно в её атакующей части (Offensive Security), эта линейка часто даёт сбой. Можно быть Senior Python Developer’ом, но при этом абсолютным нулём в понимании векторов атак. И наоборот, можно в 19 лет находить критические 0day-уязвимости в корпоративных продуктах, не имея ни дня официального стажа.

Поэтому хакерский рынок правильнее измерять не годами высиживания стула в офисе, а глубиной понимания систем и способностью создавать ценность (или угрозу, которую нужно предотвратить).

Давай разберём этот спектр от самого низа до абсолютного топа. Посмотрим, кто чем занимается, сколько за это платят в 2026 году и, главное, почему рынок оценивает эти навыки именно так.

Уровень 1: Script Kiddie (Оператор чужого кода)

Исторически это ругательство. Так называли школьников, которые качали готовые эксплойты с Exploit-DB, запускали их по мануалам с YouTube и радовались дефейсам сайтов на WordPress.

Сегодня Script Kiddie эволюционировали. Они больше не ломают сайты ради фана. Они пытаются на этом зарабатывать. Это те самые ребята, которые:

Запускают Nessus/Acunetix/Nuclei с дефолтными профилями на всё подряд.

Сканируют публичные пулы IP-адресов в поисках открытых портов RDP (Remote Desktop Protocol) с простыми паролями (брутфорс).

Пытаются участвовать в Bug Bounty, отправляя сотни мусорных репортов о том, что у сайта нет заголовка X-Frame-Options или открыт листинг директорий без конфиденциальных данных.

Где здесь деньги? А денег здесь, по сути, нет. Вернее, они случайные и мизерные.

На Bug Bounty такие репорты закрываются со статусом N/A (не применимо) или Informative (принято к сведению, без выплаты). В лучшем случае, если программа совсем щедрая, можно получить $50 или 5 000 рублей на Standoff 365 за какую-нибудь мелочь.

В найм таких не берут даже на позицию Junior. Кому нужен сотрудник, который умеет только нажимать кнопку «Scan» и генерировать тысячестраничные PDF-отчёты, в которых 99% — это ложные срабатывания (False Positives)? Настоящая работа безопасника начинается там, где заканчивается работа сканера — нужно верифицировать уязвимость руками, доказать её эксплуатабельность и написать рекомендации. Скрипт-кидди этого не умеют.

Финансовый потолок: 0 — 30 000 рублей в месяц (если очень повезёт поймать что-то сканером на широком скоупе).

Уровень 2: Junior Security Specialist / Базовый Пентестер

Это уже профессионал. Главное отличие Junior’а от Script Kiddie в том, что Junior понимает, как работают инструменты, и умеет интерпретировать их вывод. Он знает базу: сети (TCP/IP, маршрутизация), устройство операционных систем (Windows/Linux) и основы веб-технологий (HTTP, сессии, куки).

Junior делает рутину:

Проводит базовые аудиты защищённости по методикам (например, OWASP Top 10 для веба).

Умеет руками раскрутить простую SQL-инъекцию (SQLi) или настроить обход базового WAF (Web Application Firewall) для Cross-Site Scripting (XSS).

Собирает данные из разных сканеров (Nmap, Burp Suite, Metasploit), отфильтровывает мусор и пишет связный отчёт.

Где здесь деньги? Это вход в легальную профессию. В 2026 году российский рынок испытывает жесточайший кадровый голод, потому что бизнесу (особенно финансовому сектору и ритейлу) нужно срочно тестировать огромные объёмы нового отечественного ПО.

Зарплаты Junior-пентестеров в найме сейчас стартуют от 80 000 до 150 000 рублей. Это хорошие деньги для старта. Но проблема в том, что на этом уровне ты продаёшь своё время оптом. Твоя добавленная стоимость невелика — ты делаешь понятную, алгоритмизированную работу.

На фрилансе или в Bug Bounty Junior может зарабатывать нестабильно: сегодня нашёл логический баг на 50 000 рублей, а потом два месяца глухо. Конкуренция на простых уязвимостях огромная.

Финансовый потолок: 80 000 — 150 000 рублей в месяц.

Уровень 3: Middle / Advanced Pentester & Red Teamer

Здесь начинается серьёзная игра и серьёзные деньги. Middle-специалист не просто ищет баги по чеклисту. Он мыслит сценариями (Attack Paths) и понимает бизнес-логику целевой системы.

Что умеет Middle:

Цепочки уязвимостей (Chaining). Найти SSRF (Server-Side Request Forgery) в облачной инфраструктуре, вытащить через него токены AWS/Яндекс. Облака, авторизоваться, найти бакет с бэкапами базы данных и слить оттуда хеши паролей администраторов. Это не одна уязвимость, это вектор.

Обход защитных механизмов (Evasion). Middle умеет писать свои пейлоады (нагрузки), которые не детектируются популярными антивирусами и EDR (Endpoint Detection and Response) системами.

Red Teaming. Участие в комплексных симуляциях кибератак (когда ломают не конкретный сервис, а всю компанию целиком — через фишинг, социальную инженерию, физическое проникновение в офис и захват Active Directory).

Разработка. Умеет писать собственные инструменты и скрипты для автоматизации сложных рутинных задач (например, кастомный фаззер для специфического API).

Где здесь деньги? Везде. На этом уровне ты становишься востребованным активом.

В найме (консалтинг, банки, IT-гиганты) зарплаты Middle-пентестеров и Red Teamer’ов в 2026 году составляют от 150 000 до 250 000 рублей. И это только оклад. Многие компании доплачивают бонусы за успешно сданные проекты или найденные критические баги во внутренних системах.

Во фрилансе Middle может брать заказы на аудит небольших компаний (МСБ) с чеком от 100 000 до 300 000 рублей за проект (который делается за 1—2 недели чистого времени).

В Bug Bounty это уровень, где начинаются стабильные выплаты. Middle-хантер уже не конкурирует с толпой на поверхности. Он лезет в сложные места: тестирует десктопные клиенты, ковыряет толстые клиенты на Java, анализирует протоколы аутентификации (OAuth/SAML) и находит критические уязвимости (RCE, IDOR, утечки ПДн). Выплаты на российских платформах за такие баги составляют от 50 000 до 500 000 рублей за штуку.

Финансовый потолок: 150 000 — 400 000 рублей в месяц (если комбинировать найм и Bug Bounty/фриланс).

Уровень 4: Senior Vulnerability Researcher / Эксперт

Это элита. Вершина пищевой цепи. Senior Researcher не просто использует известные техники атак — он их создаёт.

Что отличает Senior’а:

Реверс-инжиниринг (Reverse Engineering) и 0day. Он может разобрать бинарный файл коммерческого антивируса, маршрутизатора или IoT-устройства, найти в нём переполнение буфера (Buffer Overflow) или Use-After-Free, и написать рабочий эксплойт, обходящий современные механизмы защиты памяти (ASLR, DEP).

Исследование архитектур. Он находит уязвимости не в конкретном сайте, а в самих протоколах или фреймворках (например, обход аутентификации в популярном SSO-решении, которое используют тысячи компаний).

Threat Intelligence и Forensic. Глубокое понимание того, как работают топовые правительственные хакеры (APT-группировки), анализ сложной малвари и проектирование систем защиты уровня Enterprise.

Управление и консалтинг. Senior может прийти к CISO (директору по ИБ) крупного банка и на языке денег объяснить, почему их текущая архитектура — решето, и как её перестроить, чтобы снизить бизнес-риски на миллионы долларов.

Где здесь деньги? Здесь деньги перестают быть зарплатой и становятся гонорарами или долями.

В найме топовые эксперты (Lead Security Researcher, Head of Offensive Security) в России зарабатывают от 300 000 до 600 000 рублей в месяц, а иногда и до 1,5 миллионов (если это уникальные спецы с именем). Их хантят не через HeadHunter, а через личные знакомства на конференциях вроде Positive Hack Days или OffZone.

На Bug Bounty Senior-хантеры забирают максимальные выплаты. Они находят RCE (Remote Code Execution) в корневых системах или обходы бизнес-логики, которые стоят от 300 000 до 1 000 000 рублей за один репорт (а на приватных западных программах — десятки тысяч долларов).

Но самое интересное начинается в смежных нишах. Senior может:

Продавать найденные 0day-уязвимости легальным брокерам (например, Zerodium, если мы говорим о мировом рынке, где RCE под iOS стоит до $2 000 000).

Открывать свой бутиковый консалтинг (аудиты смарт-контрактов в крипте, где чек за аудит одного контракта может составлять $20 000 — $50 000).

Создавать свои образовательные продукты или SaaS-решения для безопасников.

Финансовый потолок: Не ограничен (от 500 000 рублей в месяц и до бесконечности, зависящей от предпринимательской жилки).

Почему рынок платит так нелинейно?

Посмотри на цифры выше. Разница в доходе между Junior и Senior — не в два раза, а в десять, а то и в сто раз. Почему так происходит?

Ответ прост: рынок платит за уникальность и масштаб предотвращённого ущерба.

Когда Junior находит XSS, он предотвращает потенциальную кражу сессии одного пользователя. Это стоит 10 000 рублей. Когда Senior находит RCE на сервере процессинга кредитных карт, он предотвращает кражу миллионов рублей, полную остановку бизнеса и гигантские штрафы от регуляторов. Компания легко отдаст ему 500 000 рублей в виде Bug Bounty, потому что для неё это копейки по сравнению с потенциальным ущербом.

Деньги лежат там, где сложно. Там, куда не дотягиваются автоматические сканеры, где нужно читать документацию, реверсить код и понимать бизнес-процессы. Если ты хочешь зарабатывать больше — перестань конкурировать с толпой на уровне простых тулзов. Начинай копать вглубь.

Практическое задание

Определи свою точку на спектре.

Открой свой файл «Мой хакерский трек».

Создай раздел «Мой уровень в 2026 году».

Честно (без завышения и самоуничижения) отнеси себя к одному из 4 уровней: Script Kiddie, Junior, Middle или Senior.

Напиши 3 конкретных навыка, которых тебе прямо сейчас не хватает, чтобы перейти на следующий уровень. (Например, если ты Junior, тебе может не хватать: умения обходить WAF руками, базового знания Python для написания скриптов, понимания Active Directory).

Напротив каждого из 3 навыков напиши, как ты будешь его прокачивать в ближайший месяц (книга, курс, лабораторная на HackTheBox).

Не ври себе. Точная диагностика — это половина успешного эксплойта.

— Специализации с самым высоким чеком в 2025—2026

Кибербезопасность — это не монолит. Это огромный супермаркет профессий, где на одной полке лежат дошираки (скучный комплаенс за копейки), а на другой — черная икра (эксклюзивный ресёрч за миллионы). Проблема большинства новичков в том, что они хватают первое попавшееся, не глядя на ценник.

В 2025—2026 годах рынок России трансформировался. Ушли западные вендоры, пришли отечественные экосистемы. Выросли атаки через цепочки поставок (Supply Chain). Искусственный интеллект стал рабочим инструментом и новой дырой в безопасности одновременно.

Вот топ-5 специализаций, где спрос превышает предложение настолько, что работодатели готовы платить выше рынка, лишь бы закрыть вакансию.

1. Application Security Engineer (AppSec) / DevSecOps

Чек: 250 000 — 500 000+ рублей/мес.

Это короли современной разработки. Раньше безопасники приходили в конце проекта, находили баги и тормозили релиз на месяц. Бизнес это ненавидел. Сейчас безопасников встраивают прямо в процесс разработки (CI/CD конвейер).

AppSec-инженер — это гибрид. Он понимает код (Python, Java, Go, JS) так же хорошо, как разработчик, но при этом видит в нём уязвимости. Он не просто находит XSS сканером. Он:

Встраивает SAST/DAST инструменты в GitLab/Jenkins, чтобы баги ловились автоматически при каждом коммите.

Учит разработчиков писать безопасный код (Security Champions программы).

Проводит архитектурное ревью (Threat Modeling) ещё до того, как написана первая строчка кода.

Почему платят много? Потому что один AppSec экономит компании десятки миллионов рублей на исправлении багов до релиза. Исправить уязвимость на этапе архитектуры стоит $1. Исправить её в продакшене — $10 000. Бизнес умеет считать. Плюс, найти человека, который и кодит, и ломает — адски сложно.

2. Cloud Security Architect / Engineer

Чек: 300 000 — 600 000+ рублей/мес.

Весь крупный бизнес переехал в облака (Яндекс. Облако, VK Cloud, SberCloud). Но админы по привычке настраивают облака как обычные сервера «железе». И тут начинается праздник для хакеров: открытые S3-бакеты, торчащие наружу Kubernetes API, IAM-роли с правами администратора у стажёра.

Cloud Security инженер знает, как безопасно настроить Kubernetes, Docker, Terraform и облачные сервисы. Он понимает специфику контейнеризации и микросервисов.

Почему платят много? Потому что утечка из облака — это сразу всё: база клиентов, исходный код, ключи шифрования. Одна ошибка в конфиге Terraform может стоить компании существования. Специалистов, которые глубоко понимают безопасность K8s и российских облаков — единицы.

3. Red Teamer / Senior Pentester

Чек: 250 000 — 550 000+ рублей/мес. (плюс бонусы за проекты).

Это элита атакующей безопасности. Если пентестер проверяет конкретный сервис по списку (OWASP), то Red Team проверяет всю компанию на прочность.

Red Teamer имитирует реальную APT-группировку. Он может:

Отправить фишинговое письмо бухгалтеру.

Пройти в офис под видом курьера и воткнуть «малину» (Raspberry Pi) в сетевую розетку.

Сбрутить пароль админа через забытый шлюз.

Тихо сидеть в сети месяцами, повышая привилегии и выкачивая данные, пока SOC (Blue Team) его не заметит.

Почему платят много? Потому что это реальная проверка боем. Топ-менеджмент банков и корпораций готов платить огромные деньги, чтобы их «взломали» свои, показали дыры в процессах и людях, а не только в софте. Это страховка от катастрофы. Квалифицированный Red Teamer должен знать не только технический взлом, но и тактику, психологию и OPSEC (операционную безопасность).

4. Smart Contract Auditor / Web3 Security

Чек: $5 000 — $20 000+ за аудит (проектная работа).

Крипта и блокчейн никуда не делись, они трансформировались. DeFi (децентрализованные финансы), токенизация активов (ЦФА) в России — это огромный рынок. Одна ошибка в смарт-контракте на Solidity или Rust может стоить миллионы долларов, которые невозможно вернуть (блокчейн помнит всё).

Аудитор читает код контракта, ищет логические ошибки (Reentrancy, Front-running, манипуляции с оракулами) и математические неточности.

Почему платят много? Потому что цена ошибки здесь абсолютна. Взломанный банк можно откатить по бекапам. Взломанный смарт-контракт — это потеря денег навсегда. Аудиторов, которые реально понимают глубокую математику DeFi и безопасность EVM (Ethereum Virtual Machine), в мире очень мало, а в России — тем более.

5. AI Security Specialist / ML Sec Ops

Чек: Формируется, но уже стартует от 300 000 рублей/мес.

Самая свежая и горячая ниша. Компании массово внедряют LLM (Large Language Models) для поддержки, аналитики и генерации контента. Но никто не знает, как их защищать.

Специалист по AI Security занимается:

Prompt Injection: как заставить чат-бота выдать конфиденциальные данные или проигнорировать инструкции.

Data Poisoning: защита обучающих выборок от внедрения вредоносных паттернов.

Adversarial Attacks: обман систем компьютерного зрения и классификаторов.

Secure AI Pipeline: безопасное развёртывание моделей.

Почему платят много? Потому что это Wild West. Угроз много, стандартов нет, экспертов нет. Если ты разберёшься, как ломать и защищать AI сейчас — через 2 года ты будешь стоить миллионы. Это инвестиция в будущее.

Как выбрать свою нишу?

Не пытайся объять необъятное. Выбери одно направление и бей в точку.

Любишь код и автоматизацию? Иди в AppSec/DevSecOps.

Нравится ломать, социальная инженерия и адреналин? Твой путь — Red Teaming.

Фанат инфраструктуры, Linux и контейнеров? Cloud Security ждёт.

Хочешь работать удалённо за валюту и любишь математику? Учи Smart Contracts.

Хочешь быть на острие прогресса? Копай AI Security.

Деньги есть везде. Но самые большие деньги — там, где ты уникален.

Практическое задание

Выбери свою специализацию.

Открой файл «Мой хакерский трек».

Перечитай описания 5 специализаций выше.

Выбери одну (максимум две смежных), которая тебе ближе всего по духу и навыкам.

Зайди на HeadHunter, Хабр Карьеру или LinkedIn. Найди 3—5 вакансий по этой специализации.

Выпиши в файл список требований из этих вакансий:

Какие языки программирования нужны?

Какие инструменты (Burp, K8s, Solidity)?

Какие сертификаты (OSCP, CKA, CISSP)?

Это твой персональный roadmap обучения на ближайшие полгода. Теперь ты знаешь, что учить не «всё подряд», а конкретно под высокий чек.

— Как рынок оценивает твои навыки (грейды, сертификаты, портфолио)

Представь ситуацию: на одну и ту же вакансию Middle-пентестера с вилкой 200 000 — 250 000 рублей откликаются два кандидата.

Первый — Вася. Он пять лет просидел в отделе ИБ регионального банка, настраивая антивирусы и раз в год запуская сканер уязвимостей. У него в резюме написано: «Опыт работы 5 лет, глубокие знания сетевых технологий, уверенный пользователь Burp Suite». Второй — Илья. Ему 21 год. У него вообще нет официального опыта работы в трудовой книжке. Но в его резюме три ссылки: на профиль HackerOne (где у него десяток выплаченных баунти от Mail.ru и Яндекса), на его GitHub (где лежит форк популярного фаззера с его оптимизациями) и на статью на Хабре, где он подробно разобрал цепочку эксплуатации свежей CVE в Microsoft Exchange.

Угадай, кому предложат верхнюю границу вилки, а чьё резюме полетит в корзину ещё на этапе скрининга?

В кибербезопасности, в отличие от классической разработки или юриспруденции, выслуга лет не значит практически ничего. Год, проведённый за перекладыванием бумажек и настройкой фаерволов по инструкции, не делает тебя специалистом по атакующей безопасности. Рынок оценивает не время, которое ты потратил, а плотность твоего боевого опыта и способность доказать этот опыт в моменте.

Давай разберём три главных столпа, на которых строится твоя стоимость на рынке: грейды, сертификации и портфолио. И посмотрим, как расставить приоритеты так, чтобы максимизировать доход.

1. Грейды (Junior, Middle, Senior): Иллюзия объективности