Cyber Security Analyst – Red Team (Pleno)

COMO SEU TRABALHO PODE TRANSFORMAR O MUNDO! 

Missão da área

• Planejar e executar testes de segurança em aplicações web, APIs, microsserviços, integrações e componentes críticos da plataforma.
• Investigar e explorar vulnerabilidades complexas, desenvolvendo hipóteses de ataque, encadeando diferentes falhas e demonstrando seus impactos por meio de explorações controladas.
• Identificar vulnerabilidades de lógica de negócio, autenticação, autorização, controle de acesso e outras fragilidades que possam comprometer a segurança de aplicações e serviços.
• Realizar análise ofensiva de código-fonte (white-box), identificando caminhos de exploração e desenvolvendo exploits, provas de conceito (PoCs) e soluções personalizadas quando necessário.

• Realizar avaliações de segurança em aplicações baseadas em Inteligência Artificial, incluindo LLMs, RAG, copilotos e agentes.
• Identificar e explorar vulnerabilidades como prompt injection, vazamento de informações sensíveis, manipulação de respostas, abuso de funcionalidades e execução de ações não autorizadas.
• Investigar riscos nas integrações entre modelos de IA, APIs, fontes de dados e serviços externos, considerando possíveis impactos sobre aplicações e informações corporativas.
• Avaliar arquiteturas de agentes e suas integrações, contribuindo para a definição de padrões e boas práticas de segurança na adoção de IA.

• Avaliar a segurança de pipelines CI/CD, repositórios, dependências, cadeia de suprimentos de software e ambientes cloud.
• Identificar e explorar vulnerabilidades relacionadas a configurações, credenciais, permissões e integrações entre componentes da plataforma.
• Investigar caminhos de ataque que possam resultar em escalonamento de privilégios, movimentação lateral ou comprometimento de aplicações e ambientes.
• Participar dos rituais de desenvolvimento, refinamentos técnicos e discussões de arquitetura junto aos times de Engenharia e Produto, contribuindo para a identificação antecipada de riscos.
• Realizar análises de segurança e modelagem de ameaças (Threat Modeling), identificando possíveis cenários de ataque e apoiando decisões técnicas mais seguras.
• Contribuir para que os produtos da Hotmart sejam desenvolvidos com segurança desde sua concepção, promovendo boas práticas de desenvolvimento seguro e princípios de Secure by Design e Secure by Default.

• Desenvolver automações e soluções que apoiem atividades de investigação, exploração e validação de vulnerabilidades, incluindo o uso de Inteligência Artificial.
• Analisar e priorizar vulnerabilidades considerando explorabilidade, contexto técnico e impacto real para o negócio.
• Trabalhar em conjunto com os times responsáveis para definir estratégias de correção, validar soluções e prevenir a recorrência de vulnerabilidades.
• Elaborar relatórios técnicos claros e objetivos, apresentando evidências, cenários de exploração, impactos identificados e recomendações de remediação.
• Compartilhar conhecimentos e descobertas com os times de Engenharia, contribuindo para a evolução das práticas de segurança.

• Experiência prática em Segurança Ofensiva, incluindo testes de intrusão (Pentest) em aplicações web e APIs, Red Team, Bug Bounty ou atividades equivalentes.
• Capacidade de identificar e explorar vulnerabilidades complexas, demonstrando seus impactos por meio de provas de conceito e cenários reais de exploração.
• Conhecimento sólido em técnicas de exploração de aplicações, incluindo vulnerabilidades de lógica de negócio, autenticação, autorização, controle de acesso e encadeamento de falhas.
• Experiência em análise ofensiva de código-fonte, compreendendo o funcionamento de aplicações e identificando possíveis caminhos de exploração.
• Capacidade de desenvolver exploits, provas de conceito e automações para apoiar atividades de Segurança Ofensiva.
• Conhecimento dos principais riscos de segurança em aplicações baseadas em Inteligência Artificial, incluindo prompt injection, exposição de informações sensíveis e abuso de funcionalidades em LLMs e agentes.
• Familiaridade com conceitos e arquiteturas de LLMs, RAG, agentes e suas integrações.
• Conhecimento dos principais riscos de segurança em aplicações web, APIs, mecanismos de autenticação, autorização e comunicação entre serviços.
• Conhecimento de segurança em pipelines CI/CD, cadeia de suprimentos de software e ambientes cloud.
• Familiaridade com práticas de desenvolvimento seguro, análise de arquitetura, Threat Modeling e integração de segurança ao ciclo de desenvolvimento de software (SDLC).
• Pensamento analítico, autonomia técnica, boa comunicação e capacidade de documentar descobertas, explicar riscos e colaborar com diferentes times.

• Certificações relevantes em Segurança Ofensiva, como OSWE, OSCP, OSEP, BSCP ou equivalentes.
• Experiência prática e dedicação ao desenvolvimento técnico por meio de plataformas como Hack The Box (HTB), Hacking Club, TryHackMe, PortSwigger Web Security Academy, Root-Me ou similares.
• Participação em competições de Capture The Flag (CTF), resolução de desafios práticos ou produção de write-ups técnicos.
• Descobertas relevantes em programas de Bug Bounty, pesquisas independentes de segurança, vulnerabilidades reportadas ou CVEs.
• Experiência prática em avaliações de segurança de agentes de IA e integrações com sistemas externos.
• Experiência em ambientes de fintech, pagamentos, marketplaces ou plataformas SaaS de grande escala.
• Conhecimento de containers, Kubernetes e Infraestrutura como Código (Infrastructure as Code).
• Familiaridade com MITRE ATT&CK, MITRE ATLAS, OWASP ASVS e PCI DSS.
• Participação em pesquisas, publicações técnicas, palestras ou comunidades de Segurança Ofensiva.