About the role
COMO SEU TRABALHO PODE TRANSFORMAR O MUNDO!
Missão da área
Somos um time de Red Team que combina a mentalidade ofensiva e a capacidade de pensar como um atacante com uma atuação próxima aos times de Engenharia e Produto, contribuindo para a segurança dos produtos e serviços da Hotmart em todo o seu ciclo de vida.
Nossa atuação envolve investigar diferentes superfícies de ataque, identificar e explorar vulnerabilidades, analisar código-fonte e demonstrar impactos reais para o negócio. Também participamos de rituais de desenvolvimento, discussões técnicas e decisões arquiteturais para antecipar riscos e contribuir para que nossos produtos já nasçam seguros.
Buscamos uma pessoa com perfil investigativo, curiosidade técnica e paixão por Segurança Ofensiva, capaz de compreender o funcionamento dos sistemas, explorar vulnerabilidades complexas, desenvolver provas de conceito e transformar descobertas em melhorias concretas de segurança.
Nosso objetivo é fortalecer continuamente a segurança da plataforma, prevenir vulnerabilidades recorrentes e contribuir para que a segurança faça parte das decisões de desenvolvimento desde a concepção dos produtos.
Aqui suas responsabilidades serão: • Planejar e executar testes de segurança em aplicações web, APIs, microsserviços, integrações e componentes críticos da plataforma. • Investigar e explorar vulnerabilidades complexas, desenvolvendo hipóteses de ataque, encadeando diferentes falhas e demonstrando seus impactos por meio de explorações controladas. • Identificar vulnerabilidades de lógica de negócio, autenticação, autorização, controle de acesso e outras fragilidades que possam comprometer a segurança de aplicações e serviços. • Realizar análise ofensiva de código-fonte (white-box), identificando caminhos de exploração e desenvolvendo exploits, provas de conceito (PoCs) e soluções personalizadas quando necessário.
Segurança ofensiva em IA e agentes • Realizar avaliações de segurança em aplicações baseadas em Inteligência Artificial, incluindo LLMs, RAG, copilotos e agentes. • Identificar e explorar vulnerabilidades como prompt injection, vazamento de informações sensíveis, manipulação de respostas, abuso de funcionalidades e execução de ações não autorizadas. • Investigar riscos nas integrações entre modelos de IA, APIs, fontes de dados e serviços externos, considerando possíveis impactos sobre aplicações e informações corporativas. • Avaliar arquiteturas de agentes e suas integrações, contribuindo para a definição de padrões e boas práticas de segurança na adoção de IA.
Segurança de plataforma e DevSecOps • Avaliar a segurança de pipelines CI/CD, repositórios, dependências, cadeia de suprimentos de software e ambientes cloud. • Identificar e explorar vulnerabilidades relacionadas a configurações, credenciais, permissões e integrações entre componentes da plataforma. • Investigar caminhos de ataque que possam resultar em escalonamento de privilégios, movimentação lateral ou comprometimento de aplicações e ambientes. • Participar dos rituais de desenvolvimento, refinamentos técnicos e discussões de arquitetura junto aos times de Engenharia e Produto, contribuindo para a identificação antecipada de riscos. • Realizar análises de segurança e modelagem de ameaças (Threat Modeling), identificando possíveis cenários de ataque e apoiando decisões técnicas mais seguras. • Contribuir para que os produtos da Hotmart sejam desenvolvidos com segurança desde sua concepção, promovendo boas práticas de desenvolvimento seguro e princípios de Secure by Design e Secure by Default.
Automação e parceria com os times • Desenvolver automações e soluções que apoiem atividades de investigação, exploração e validação de vulnerabilidades, incluindo o uso de Inteligência Artificial. • Analisar e priorizar vulnerabilidades considerando explorabilidade, contexto técnico e impacto real para o negócio. • Trabalhar em conjunto com os times responsáveis para definir estratégias de correção, validar soluções e prevenir a recorrência de vulnerabilidades. • Elaborar relatórios técnicos claros e objetivos, apresentando evidências, cenários de exploração, impactos identificados e recomendações de remediação. • Compartilhar conhecimentos e descobertas com os times de Engenharia, contribuindo para a evolução das práticas de segurança.
Qualificações que você precisa ter: • Experiência prática em Segurança Ofensiva, incluindo testes de intrusão (Pentest) em aplicações web e APIs, Red Team, Bug Bounty ou atividades equivalentes. • Capacidade de identificar e explorar vulnerabilidades complexas, demonstrando seus impactos por meio de provas de conceito e cenários reais de exploração. • Conhecimento sólido em técnicas de exploração de aplicações, incluindo vulnerabilidades de lógica de negócio, autenticação, autorização, controle de acesso e encadeamento de falhas. • Experiência em análise ofensiva de código-fonte, compreendendo o funcionamento de aplicações e identificando possíveis caminhos de exploração. • Capacidade de desenvolver exploits, provas de conceito e automações para apoiar atividades de Segurança Ofensiva. • Conhecimento dos principais riscos de segurança em aplicações baseadas em Inteligência Artificial, incluindo prompt injection, exposição de informações sensíveis e abuso de funcionalidades em LLMs e agentes. • Familiaridade com conceitos e arquiteturas de LLMs, RAG, agentes e suas integrações. • Conhecimento dos principais riscos de segurança em aplicações web, APIs, mecanismos de autenticação, autorização e comunicação entre serviços. • Conhecimento de segurança em pipelines CI/CD, cadeia de suprimentos de software e ambientes cloud. • Familiaridade com práticas de desenvolvimento seguro, análise de arquitetura, Threat Modeling e integração de segurança ao ciclo de desenvolvimento de software (SDLC). • Pensamento analítico, autonomia técnica, boa comunicação e capacidade de documentar descobertas, explicar riscos e colaborar com diferentes times.
Habilidades que são diferenciais: • Certificações relevantes em Segurança Ofensiva, como OSWE, OSCP, OSEP, BSCP ou equivalentes. • Experiência prática e dedicação ao desenvolvimento técnico por meio de plataformas como Hack The Box (HTB), Hacking Club, TryHackMe, PortSwigger Web Security Academy, Root-Me ou similares. • Participação em competições de Capture The Flag (CTF), resolução de desafios práticos ou produção de write-ups técnicos. • Descobertas relevantes em programas de Bug Bounty, pesquisas independentes de segurança, vulnerabilidades reportadas ou CVEs. • Experiência prática em avaliações de segurança de agentes de IA e integrações com sistemas externos. • Experiência em ambientes de fintech, pagamentos, marketplaces ou plataformas SaaS de grande escala. • Conhecimento de containers, Kubernetes e Infraestrutura como Código (Infrastructure as Code). • Familiaridade com MITRE ATT&CK, MITRE ATLAS, OWASP ASVS e PCI DSS. • Participação em pesquisas, publicações técnicas, palestras ou comunidades de Segurança Ofensiva.
POR QUE TRANSFORMAR AO NOSSO LADO? • Plano de saúde e odontológico com cobertura nacional, sem custo para o colaborador e com coparticipação para cônjuge e dependentes; • Vale refeição/alimentação (Flash - bandeira Visa); • Benefício flexível (Flash Multibenefícios - bandeira Visa), podendo ser destinado à alimentação, refeição, mobilidade (aplicativos de transporte, combustível, transporte público em SP), cultura, saúde e educação; • Previdência privada; • Vale transporte; • Seguro de vida; • Wellhub; • Auxílio creche para filhos de até cinco anos; • Budget de educação: valor destinado aos investimentos relacionados à sua educação, de forma a contribuir para desenvolver e potencializar suas competências; • Incentivo ao aprendizado de idiomas por meio de plataforma online; • Baby On Board: benefício oferecido para as pessoas que estão se preparando para a maternidade e paternidade; • Licença maternidade estendida (180 dias); • Licença Paternidade estendida (30 dias); • Conexa Saúde: acesso online gratuito a profissionais da área da saúde - Nutricionista e Psicólogo; • Participação anual nos lucros e resultados da companhia (PLR); • Hotmart Recharge: bônus de 30% do salário bruto mensal, pago após cumprir o período aquisitivo de férias de 30 dias.
VEM PRA HOTMART
Fazer parte do nosso time é ter a certeza de que seu trabalho transforma vidas em escala global. Vem para a Hotmart e faça parte dessa transformação!
Text as published by Hotmart. We don't edit postings; apply and ask questions on the employer's site.