Job Description

A Pagaleve é uma empresa do setor de “Buy Now Pay Later”. Somos uma das primeiras empresas a oferecer pagamento parcelado no PIX, sem juros, e sem a necessidade de usar cartão de crédito. Temos como objetivo oferecer aos lojistas um novo método de pagamento, para aumentar suas vendas de um jeito simples, descomplicado e ágil, mas também temos como objetivo oferecer às pessoas a oportunidade de comprar aquilo que desejam, sem se comprometerem com os altos juros do cartão de crédito.

A Pagaleve foi fundada em 2021 e já conta com uma trajetória acelerada de crescimento, e conta, entre os investidores, fundos como Our Innovation Fund, da Austrália, Founder Collective, dos Estados Unidos, e Entrée Capital.

O time de Cyber Security tem um programa maduro e se divide em Red Team e Blue Team. Trabalhamos perto de engenharia e usamos IA de forma intensa para construir ferramentas próprias, não só para consumir as de mercado.

A vaga

Buscamos uma pessoa sênior de Red Team para liderar tecnicamente a frente ofensiva da Pagaleve. A missão principal é construir e operar um agente de pentest contínuo, baseado em LLMs, que teste nossos próprios produtos a cada release. Em paralelo, a pessoa conduz pentests manuais e exercícios de red team onde automação não chega.

O escopo é exclusivamente a superfície da Pagaleve: aplicações, APIs, infraestrutura cloud e pessoas. A pessoa vai trabalhar com o time de Red Team, com o Blue Team nos exercícios e com engenharia na correção.

Responsabilidades

Agente de pentest contínuo (foco principal)

• Projetar, construir e evoluir um agente autônomo de pentest que rode contra o ambiente de staging integrado ao pipeline de CI/CD
• Cobrir OWASP Top 10 (web e API), falhas de lógica de negócio, autenticação e autorização (IDOR/BOLA) e configurações de cloud
• Definir guardrails do agente: escopo permitido, limites de ação, aprovação humana para testes destrutivos e trilha de auditoria
• Medir a qualidade do agente: taxa de falso positivo, cobertura e vulnerabilidades encontradas versus pentest manual
• Integrar achados ao fluxo de engenharia (tickets, severidade, evidência reproduzível e sugestão de correção)
• Apoiar threat modeling de novas features e transformar os cenários em casos de teste do agente

Pentests manuais

• Executar pentests de aplicações web, APIs, mobile e infraestrutura AWS, conforme o escopo revisado a cada trimestre
• Atender pedidos ad-hoc de testes dos times de produto antes de lançamentos
• Escrever relatórios técnicos e executivos, com evidências e recomendações acionáveis
• Validar correções (reteste) e acompanhar o prazo de remediação

Exercícios de red team

• Planejar e conduzir exercícios de red team e purple team com o Blue Team, com objetivos e regras de engajamento definidos
• Simular cenários relevantes para fintech: comprometimento de identidade e SSO, abuso de fluxos Pix, movimentação lateral em AWS e engenharia social
• Mapear técnicas usadas e medir detecção e resposta do Blue Team

Time e programa

• Ser referência técnica para a outra pessoa do Red Team, com revisão de achados e mentoria
• Contribuir com evidências para auditorias e requisitos regulatórios (ex.: Resolução BCB 85)

Requisitos obrigatórios

• 5+ anos em segurança ofensiva, com pentests de aplicações web e APIs conduzidos de ponta a ponta
• Domínio de OWASP Top 10, OWASP API Security Top 10 e testes de autenticação, autorização e lógica de negócio
• Experiência prática com Burp Suite e ferramentas ofensivas, sem depender só de scanners
• Programação fluente em Python (ou Go/TypeScript), com histórico de construir ferramentas próprias, não só scripts
• Experiência construindo com LLMs: agentes, tool use, prompts estruturados ou integração com APIs de modelos
• Conhecimento de AWS do ponto de vista ofensivo (IAM, escalonamento de privilégio, serviços expostos)
• Experiência integrando segurança a pipelines de CI/CD
• Escrita clara de relatórios para engenharia e para liderança
• Postura ética e disciplina com escopo e regras de engajamento

Diferenciais

• Certificações ofensivas práticas: OSCP, OSWE, OSEP, BSCP, eWPTX ou equivalentes
• Experiência em fintech, meios de pagamento ou Pix
• Projetos open source de segurança, CVEs publicadas ou participação em bug bounty
• Vivência com exercícios de red team ou purple team em empresas com SOC estruturado
• Testes de aplicações mobile (Android e iOS)
• Conhecimento de avaliação de agentes de IA: evals, medição de falso positivo e segurança do próprio agente (prompt injection, abuso de ferramentas)
• Experiência com infraestrutura como código (Terraform) e containers
• Modelo de contratação PJ;
• Remuneração competitiva;
• Pensando no seu bem-estar e no de sua família, oferecemos plano de saúde com cobertura 100% do titular e 75% para o primeiro dependente;
• Day off no mês do aniversário
• Cupom de desconto mensal nas lojas que aceitam o Pix Parcelado
• Modelo REMOTO de trabalho.