RecargaPay

All-in-one Brazilian mobile payments platform

Offensive Security Specialist

Offensive Security & TestingPosted on Nov 12

Full-timeRemote in Brazil

About the Job

Requirements

Experience technically leading an Application Security or offensive testing program at a product company, including end-to-end vulnerability management with engineering, business-risk prioritization, and indicators reported to leadership.
Expertise in web application and API (REST/GraphQL) penetration testing, including business logic, authentication, authorization (IDOR/BOLA), and attack chains.
Security code review in at least one backend language: Java, Kotlin, Go, Python, or Node.js, and architecture-level threat modeling.
Development of custom automation and tools in Python or Go, with practical use of artificial intelligence (LLMs or agents) in security work such as triage, code review, or testing.
Education in technology or related areas, or equivalent experience.
Technical English sufficient to read documentation, advisories, and research.

Responsibilities

Serve as the technical reference for the Offensive Security team, defining how it protects applications, financial products, and artificial-intelligence assets, from testing strategy and vulnerability management to architecture review of critical initiatives.
Define the team's technical Application Security and offensive testing strategy, including methodology, coverage of applications and artificial-intelligence assets, business-risk prioritization, and indicators.
Own the application vulnerability-management program, ensuring business-critical issues involving financial loss and customer-data exposure are remediated on schedule, and negotiate with engineering leadership as needed.
Conduct threat modeling and architecture reviews for the company's most critical initiatives, including Pix, credit, cards, and artificial-intelligence agents, influencing design decisions before development.
Plan and execute complex penetration tests of web applications and APIs, focusing on business logic and attack chains, and turn recurring findings into controls and regression tests.
Define the scope of external penetration tests and the annual PCI DSS cycle, and act as the technical reference for triaging external findings from bug bounty programs, consultancies, and external reports.
Lead the evolution of the team's automation and artificial-intelligence agents to scale code review, triage, and security testing across engineering.
Represent the team technically in audits and with partner teams and leadership, translating technical risk into business decisions.
Serve as the team's technical reference and the manager's technical substitute, mentoring senior and mid-level colleagues.

Desired Qualifications

Experience with security of LLMs, agents, and MCPs, including prompt injection, tool abuse, and data exposure.
Experience with Android and iOS mobile penetration testing using Frida, objection, and Burp Suite.
Experience in a regulated financial environment, including PCI DSS, LGPD, BACEN, and audits.
Certifications such as OSWE, BSCP, or OSCP, or equivalents, and public contributions such as CVEs, research, or talks.

Offensive Security Specialist

RecargaPay · Brazil (Remote) · — · Posted 2026-11-12

Workplace: remote

Department: Risks

Description

Ser a referência técnica do time de Offensive Security da RecargaPay. A pessoa define como o time protege as aplicações, os produtos financeiros e os ativos de IA: da estratégia de testes e da gestão de vulnerabilidades à revisão de arquitetura das iniciativas mais críticas. Trabalha em um time AI-first e lidera o uso de automação e agentes de IA para escalar segurança para toda a engenharia.

RESPONSIBILIDADES
Definir a estratégia técnica de AppSec e de testes ofensivos do time: metodologia, cobertura de aplicações e ativos de IA, priorização por risco de negócio e indicadores.
Ser dono do programa de gestão de vulnerabilidades de aplicação, garantindo que o que é crítico para o negócio (perda financeira e exposição de dados de clientes) seja corrigido dentro do prazo, e negociar com a liderança de engenharia quando necessário.
Conduzir threat modeling e revisão de arquitetura das iniciativas mais críticas da companhia, como Pix, crédito, cartões e agentes de IA, influenciando decisões de design antes do desenvolvimento.
Planejar e executar os pentests mais complexos de aplicações web e APIs, com foco em lógica de negócio e cadeias de ataque, e transformar achados recorrentes em controles e testes de regressão.
Definir o escopo dos pentests externos e do ciclo anual de PCI DSS e ser a referência técnica na triagem de achados externos (bug bounty, consultorias e reportes externos).
Liderar a evolução das automações e dos agentes de IA do time para escalar code review, triagem e testes de segurança para toda a engenharia.
Representar tecnicamente o time em auditorias, com áreas parceiras e com a liderança, traduzindo risco técnico em decisão de negócio.
Ser a referência técnica de todo o time e substituto técnico do gestor, mentorando sêniores e plenos.

Requirements

Experiência liderando tecnicamente um programa de Application Security ou de testes ofensivos em empresa de produto, com gestão de vulnerabilidades de ponta a ponta junto à engenharia, priorização por risco de negócio e indicadores reportados à liderança.
Domínio de pentest de aplicações web e APIs (REST/GraphQL), incluindo lógica de negócio, autenticação, autorização (IDOR/BOLA) e cadeias de ataque.
Code review de segurança em pelo menos uma linguagem de backend (Java, Kotlin, Go, Python ou Node.js) e threat modeling em nível de arquitetura.
Desenvolvimento de automações e ferramentas próprias em Python ou Go, com uso prático de IA (LLMs ou agentes) no trabalho de segurança, como triagem, code review ou testes.
Formação em tecnologia e áreas afins, ou experiência equivalente. Inglês técnico para leitura de documentação, advisories e pesquisas.
Diferencial: segurança de LLMs, agentes e MCPs (prompt injection, abuso de ferramentas, exposição de dados).
Diferencial: pentest mobile Android e iOS (Frida, objection, Burp Suite).
Diferencial: vivência em ambiente financeiro regulado (PCI DSS, LGPD, BACEN) e em auditorias.
Diferencial: certificações como OSWE, BSCP, OSCP ou equivalentes, e contribuições públicas como CVEs, pesquisas ou palestras.

Benefits

Salário competitivo e alinhado ao mercado.
Trabalho remoto — esteja onde estiver, você faz parte do time!
Auxílio home office com um depósito mensal no app RecargaPay.
Plano de saúde e odontológico sem coparticipação.
Seguro de vida.
Vale-refeição flexível (via Flash).
TotalPass para cuidar da sua saúde

Diversidade & Inclusão na RecargaPay

No RecargaPay, você tem liberdade para ser quem você é. Acreditamos que diferentes perspectivas e experiências nos tornam mais criativos, inovadores e fortes. Aqui, todas as pessoas são bem-vindas para se expressar de forma autêntica. Valorizamos cada trajetória e as múltiplas formas de enxergar o mundo, sem distinções.

Sobre o uso dos seus Dados

Ao compartilhar seu currículo conosco, você autoriza o uso de seus dados para análise durante o processo seletivo e, possivelmente, para outras oportunidades dentro do grupo RecargaPay. Você pode solicitar a atualização ou exclusão de suas informações a qualquer momento, conforme a LGPD (Lei Geral de Proteção de Dados).

Apply

Apply at RecargaPay

About the Company

RecargaPay

All-in-one Brazilian mobile payments platform

RecargaPay is a Brazilian, all-in-one mobile payments platform that lets users pay bills and send money from their smartphones. Users can perform Pix payments with a credit card and transfer funds without card machines or bank details. The service offers cashback on purchases at retailers like iFood, Amazon, and Casas Bahias, plus gift cards and prepaid TV with cashback. Its revenue comes from transactional fees and a Prime+ subscription, and it has expanded into small loans after Central Bank approval to operate as a Direct Credit Society.

Company size: 501-1,000
Company stage: Debt Financing
Total funding: $165.1M
Headquarters: São Paulo, Brazil
Founded: 2010

Recently Posted Jobs

Explore more opportunities at RecargaPay

See more jobs