Mid-Level Analyst Offensive Security - RecargaPay

Sobre a vaga

Proteger as aplicações e os produtos financeiros da RecargaPay junto às squads de engenharia. A pessoa atua na base de Application Security do time, acompanhando vulnerabilidades da triagem à correção e apoiando threat modeling e code review, e aprofunda uma especialidade entre Adversarial Security, AI Security e Security Automation, com mentoria de um sênior. Trabalha em um time AI-first, usando automação e agentes de IA no dia a dia.

Responsabilidades

• Acompanhar vulnerabilidades de aplicação da triagem à correção: classificar, priorizar com o time, orientar as squads e validar a correção por reteste.
• Triar os achados de SAST, SCA e do code review automatizado, separando falsos positivos e encaminhando o que é real com contexto para quem vai corrigir.
• Apoiar threat modeling e design review de features e fazer code review de segurança em pull requests.
• Executar pentests de aplicações web, APIs e mobile dentro de escopos definidos, com evidência reproduzível e impacto claro.
• Apoiar a triagem de achados externos, como bug bounty e pentests de consultorias, reproduzindo e validando as vulnerabilidades.
• Orientar os Security Champions das squads sobre correções e boas práticas de desenvolvimento seguro. Construir e manter automações e agentes de IA que escalam o trabalho do time.
• Aprofundar uma especialidade (Adversarial Security, AI Security ou Security Automation) e entregar o roadmap trimestral dela.

Requisitos

• Experiência em Application Security ou em pentest de aplicações, com conhecimento sólido de OWASP Top 10 e OWASP API Security Top 10.
• Experiência acompanhando a correção de vulnerabilidades junto a times de desenvolvimento.
• Leitura de código em pelo menos uma linguagem de backend (Java, Kotlin, Go, Python ou Node.js) para revisão de segurança.
• Experiência com ferramentas de SAST, SCA ou DAST e com Burp Suite ou similar.
• Desenvolvimento de scripts em Python ou Go.
• Inglês técnico para leitura de documentação, advisories e pesquisas.
• Formação em tecnologia e áreas afins, ou experiência equivalente.

Diferenciais

• Adversarial Security: pentest web e API com foco em lógica de negócio e autorização, ou pentest mobile Android e iOS (Frida, objection).
• AI Security: segurança de LLMs, agentes e MCPs, como prompt injection, abuso de ferramentas e autorização.
• Security Automation: integração de segurança em CI/CD e automações com n8n ou agentes de IA.
• Vivência em ambiente financeiro regulado (PCI DSS, LGPD, BACEN).
• Certificações como BSCP, eWPT, OSCP ou equivalentes.

Competências

• Ownership no escopo: acompanha o que assumiu até a correção.
• Curiosidade técnica: busca a causa raiz e aprofunda a especialidade de forma consistente.
• Comunicação com engenharia: explica a vulnerabilidade e o passo de correção de forma clara para quem desenvolve.
• Julgamento de risco: considera o impacto no negócio, não só a severidade apontada pela ferramenta.
• Colaboração: pede e dá feedback e trabalha bem em pareamento.
• Mentalidade AI-first: usa IA para escalar o trabalho, com senso crítico sobre falsos positivos.
• Ética e discrição: no uso de acessos privilegiados e dados sensíveis.

Benefícios

• Salário competitivo e alinhado ao mercado.
• Trabalho 100% remoto.
• Auxílio home office com depósito mensal no app RecargaPay.
• Plano de saúde e odontológico sem coparticipação.
• Seguro de vida.
• Vale-refeição flexível (via Flash).
• TotalPass (acesso a academias e bem-estar).