Proteger as aplicações e os produtos financeiros da RecargaPay junto às squads de engenharia. A pessoa atua na base de Application Security do time, acompanhando vulnerabilidades da triagem à correção e apoiando threat modeling e code review, e aprofunda uma especialidade entre Adversarial Security, AI Security e Security Automation, com mentoria de um sênior. Trabalha em um time AI-first, usando automação e agentes de IA no dia a dia.
RESPONSIBILIDADES
Acompanhar vulnerabilidades de aplicação da triagem à correção: classificar, priorizar com o time, orientar as squads e validar a correção por reteste.
Triar os achados de SAST, SCA e do code review automatizado, separando falsos positivos e encaminhando o que é real com contexto para quem vai corrigir.
Apoiar threat modeling e design review de features e fazer code review de segurança em pull requests.
Executar pentests de aplicações web, APIs e mobile dentro de escopos definidos, com evidência reproduzível e impacto claro.
Apoiar a triagem de achados externos, como bug bounty e pentests de consultorias, reproduzindo e validando as vulnerabilidades.
Orientar os Security Champions das squads sobre correções e boas práticas de desenvolvimento seguro. Construir e manter automações e agentes de IA que escalam o trabalho do time.
Aprofundar uma especialidade (Adversarial Security, AI Security ou Security Automation) e entregar o roadmap trimestral dela.
Requirements
Experiência em Application Security ou em pentest de aplicações, com conhecimento sólido de OWASP Top 10 e OWASP API Security Top 10.
Experiência acompanhando a correção de vulnerabilidades junto a times de desenvolvimento.
Leitura de código em pelo menos uma linguagem de backend (Java, Kotlin, Go, Python ou Node.js) para revisão de segurança.
Experiência com ferramentas de SAST, SCA ou DAST e com Burp Suite ou similar.
Desenvolvimento de scripts em Python ou Go.
Inglês técnico para leitura de documentação, advisories e pesquisas. Formação em tecnologia e áreas afins, ou experiência equivalente.
Diferencial (Adversarial Security): pentest web e API com foco em lógica de negócio e autorização, ou pentest mobile Android e iOS (Frida, objection).
Diferencial (AI Security): segurança de LLMs, agentes e MCPs, como prompt injection, abuso de ferramentas e autorização.
Diferencial (Security Automation): integração de segurança em CI/CD e automações com n8n ou agentes de IA.
Diferencial: vivência em ambiente financeiro regulado (PCI DSS, LGPD, BACEN). Diferencial: certificações como BSCP, eWPT, OSCP ou equivalentes.
COMPETÊNCIAS
Ownership no escopo: acompanha o que assumiu até a correção.
Curiosidade técnica: busca a causa raiz e aprofunda a especialidade de forma consistente.
Comunicação com engenharia: explica a vulnerabilidade e o passo de correção de forma clara para quem desenvolve.
Julgamento de risco: considera o impacto no negócio, não só a severidade apontada pela ferramenta.
Colaboração: pede e dá feedback e trabalha bem em pareamento.
Mentalidade AI-first: usa IA para escalar o trabalho, com senso crítico sobre falsos positivos. Ética e discrição no uso de acessos privilegiados e dados sensíveis.
Benefits
- Salário competitivo e alinhado ao mercado.
- Trabalho remoto — esteja onde estiver, você faz parte do time!
- Auxílio home office com um depósito mensal no app RecargaPay.
- Plano de saúde e odontológico sem coparticipação.
- Seguro de vida.
- Vale-refeição flexível (via Flash).
- TotalPass para cuidar da sua saúde
Diversidade & Inclusão na RecargaPay
No RecargaPay, você tem liberdade para ser quem você é. Acreditamos que diferentes perspectivas e experiências nos tornam mais criativos, inovadores e fortes. Aqui, todas as pessoas são bem-vindas para se expressar de forma autêntica. Valorizamos cada trajetória e as múltiplas formas de enxergar o mundo, sem distinções.
Sobre o uso dos seus Dados
Ao compartilhar seu currículo conosco, você autoriza o uso de seus dados para análise durante o processo seletivo e, possivelmente, para outras oportunidades dentro do grupo RecargaPay. Você pode solicitar a atualização ou exclusão de suas informações a qualquer momento, conforme a LGPD (Lei Geral de Proteção de Dados).