The posting
A Pagaleve é uma empresa do setor de “Buy Now Pay Later”. Somos uma das primeiras empresas a oferecer pagamento parcelado no PIX, sem juros, e sem a necessidade de usar cartão de crédito. Temos como objetivo oferecer aos lojistas um novo método de pagamento, para aumentar suas vendas de um jeito simples, descomplicado e ágil, mas também temos como objetivo oferecer às pessoas a oportunidade de comprar aquilo que desejam, sem se comprometerem com os altos juros do cartão de crédito. A Pagaleve foi fundada em 2021 e já conta com uma trajetória acelerada de crescimento, e conta, entre os investidores, fundos como Our Innovation Fund, da Austrália, Founder Collective, dos Estados Unidos, e Entrée Capital.Responsabilidades e atribuiçõesO time de Cyber Security tem um programa maduro e se divide em Red Team e Blue Team. Trabalhamos perto de engenharia e usamos IA de forma intensa para construir ferramentas próprias, não só para consumir as de mercado.A vagaBuscamos uma pessoa sênior de Red Team para liderar tecnicamente a frente ofensiva da Pagaleve. A missão principal é construir e operar um agente de pentest contínuo, baseado em LLMs, que teste nossos próprios produtos a cada release. Em paralelo, a pessoa conduz pentests manuais e exercícios de red team onde automação não chega.O escopo é exclusivamente a superfície da Pagaleve: aplicações, APIs, infraestrutura cloud e pessoas. A pessoa vai trabalhar com o time de Red Team, com o Blue Team nos exercícios e com engenharia na correção.Requisitos e qualificaçõesResponsabilidadesAgente de pentest contínuo (foco principal)Projetar, construir e evoluir um agente autônomo de pentest que rode contra o ambiente de staging integrado ao pipeline de CI/CDCobrir OWASP Top 10 (web e API), falhas de lógica de negócio, autenticação e autorização (IDOR/BOLA) e configurações de cloudDefinir guardrails do agente: escopo permitido, limites de ação, aprovação humana para testes destrutivos e trilha de auditoriaMedir a qualidade do agente: taxa de falso positivo, cobertura e vulnerabilidades encontradas versus pentest manualIntegrar achados ao fluxo de engenharia (tickets, severidade, evidência reproduzível e sugestão de correção)Apoiar threat modeling de novas features e transformar os cenários em casos de teste do agentePentests manuaisExecutar pentests de aplicações web, APIs, mobile e infraestrutura AWS, conforme o escopo revisado a cada trimestreAtender pedidos ad-hoc de testes dos times de produto antes de lançamentosEscrever relatórios técnicos e executivos, com evidências e recomendações acionáveisValidar correções (reteste) e acompanhar o prazo de remediaçãoExercícios de red teamPlanejar e conduzir exercícios de red team e purple team com o Blue Team, com objetivos e regras de engajamento definidosSimular cenários relevantes para fintech: comprometimento de identidade e SSO, abuso de fluxos Pix, movimentação lateral em AWS e engenharia socialMapear técnicas usadas e medir detecção e resposta do Blue TeamTime e programaSer referência técnica para a outra pessoa do Red Team, com revisão de achados e mentoriaContribuir com evidências para auditorias e requisitos regulatórios (ex.: Resolução BCB 85)Requisitos obrigatórios5+ anos em segurança ofensiva, com pentests de aplicações web e APIs conduzidos de ponta a pontaDomínio de OWASP Top 10, OWASP API Security Top 10 e testes de autenticação, autorização e lógica de negócioExperiência prática com Burp Suite e ferramentas ofensivas, sem depender só de scannersProgramação fluente em Python (ou Go/TypeScript), com histórico de construir ferramentas próprias, não só scriptsExperiência construindo com LLMs: agentes, tool use, prompts estruturados ou integração com APIs de modelosConhecimento de AWS do ponto de vista ofensivo (IAM, escalonamento de privilégio, serviços expostos)Experiência integrando segurança a pipelines de CI/CDEscrita clara de relatórios para engenharia e para liderançaPostura ética e disciplina com escopo e regras de engajamentoDiferenciaisCertificações ofensivas práticas: OSCP, OSWE, OSEP, BSCP, eWPTX ou equivalentesExperiência em fintech, meios de pagamento ou PixProjetos open source de segurança, CVEs publicadas ou participação em bug bountyVivência com exercícios de red team ou purple team em empresas com SOC estruturadoTestes de aplicações mobile (Android e iOS)Conhecimento de avaliação de agentes de IA: evals, medição de falso positivo e segurança do próprio agente (prompt injection, abuso de ferramentas)Experiência com infraestrutura como código (Terraform) e containersInformações adicionaisModelo de contratação PJ;Remuneração competitiva;Pensando no seu bem-estar e no de sua família, oferecemos plano de saúde com cobertura 100% do titular e 75% para o primeiro dependente;Day off no mês do aniversárioCupom de desconto mensal nas lojas que aceitam o Pix ParceladoModelo REMOTO de trabalho.
