Pentester - Contratación Inmediata

¡ÚNETE A ALÓ CREDIT! \nPENTESTER / ETHICAL HACKER\n¿QUIÉNES SOMOS?\nALÓ CREDIT es una Fintech colombiana en plena expansión, especializada en financiación de smartphones bajo modelo Compra Ahora, Paga Después (BNPL). Operamos un modelo dual: financiamos al consumidor final que compra su celular en nuestros aliados, Y financiamos a distribuidores, redes retail aliadas y grandes superficies en Colombia y Perú.\nMovemos crédito y datos sensibles de miles de colombianos. Y en una Fintech regulada, la seguridad no se improvisa.\nPor eso estamos consolidando el equipo de Ciberseguridad bajo la CISO. Y necesitamos un/a Pentester con criterio, ética y manos. Ahí entras tú.\nEL RETO EN UNA FRASE\nEncontrar las vulnerabilidades antes de que alguien más las encuentre.\nVas a hacer pentest interno continuo sobre nuestras aplicaciones web, APIs, app móvil, infraestructura AWS y bases de datos reduciendo nuestra dependencia de pentests externos y blindando el negocio frente a riesgo regulatorio y reputacional.\n¿QUÉ VAS A HACER?\nPENTEST A APLICACIONES WEB Y APIs\nPruebas de penetración con metodología OWASP (WSTG, Top 10, API Security Top 10). Encuentras IDOR, BOLA, fallas de autenticación, escalamiento de privilegios y lo que haga falta encontrar.\n PENTEST A APPS MÓVILES (ANDROID / iOS)\nAnálisis estático y dinámico bajo OWASP MASTG/MASVS. Ingeniería inversa con Frida, análisis con MobSF / mobsfscan / Semgrep CE.\n PENTEST DE INFRAESTRUCTURA Y NUBE AWS\nIAM, S3, EC2, security groups, exposición de servicios. Herramientas: Prowler, ScoutSuite, Pacu.\n PENTEST A BASES DE DATOS\nInyección, configuraciones inseguras, control de accesos, exposición de datos personales.\n MODELADO DE AMENAZAS Y PRIORIZACIÓN\nModelas amenazas con STRIDE por aplicación / API. Clasificas con CVSS v3.1/v4.0 y priorizas por riesgo real para el negocio.\n INTEGRACIÓN EN CI/CD\nDAST con ZAP, SAST con Semgrep, detección de secretos con Gitleaks todo integrado en GitHub Actions.\n INFORMES Y REMEDIACIÓN\nInformes técnicos y ejecutivos con evidencia, criticidad y recomendaciones claras. Acompañas a Desarrollo y DevOps hasta cerrar cada hallazgo. Nada queda en el aire.\n AUTOMATIZACIÓN\nScripting en Python y Bash para automatizar pruebas recurrentes.\nSOPORTE OCASIONAL A PERÚ\nPosible apoyo puntual a la operación de Perú cuando se requiera.\n¿QUÉ NECESITAS PARA APLICAR?\nTécnico, tecnólogo o profesional en Ingeniería de Sistemas, Software, Telemática, Telecomunicaciones, Electrónica o afines.\n23 años de experiencia COMPROBABLE realizando pentest sobre aplicaciones web, APIs REST, apps móviles e infraestructura AWS.\nDominio AVANZADO de Burp Suite, OWASP ZAP, Nmap, sqlmap, ffuf, Nuclei, Metasploit y Postman.\nDominio AVANZADO de OAuth 2.0 / OIDC, JWT, gestión de sesiones, IDOR / BOLA.\nDominio AVANZADO de CVSS v3.1/v4.0 y elaboración de informes técnicos y ejecutivos.\n Nivel INTERMEDIO en pentest móvil (OWASP MASTG/MASVS, Frida, MobSF).\nNivel INTERMEDIO en pentest AWS (Prowler, ScoutSuite, Pacu).\nNivel INTERMEDIO en integración DAST/SAST en CI/CD (ZAP, Semgrep, Gitleaks, GitHub Actions).\n Scripting en Python y Bash.\n Nociones de ISO/IEC 27001:2022, NIST CSF 2.0, PCI DSS (req. 11), Ley 1581 de 2012 y lineamientos SFC.\nSuman puntos:\n* Especialización en Seguridad Informática o Seguridad de la Información.\n* Certificaciones: OSCP, eJPT/eCPPT, CEH Practical, PNPT, BSCP, eMAPT o similares.\n* Experiencia en Fintech, sector financiero o entidades vigiladas por la SFC.\n* Experiencia integrando pruebas de seguridad en pipelines CI/CD.\n¿QUÉ COMPETENCIAS BUSCAMOS?\n* Ética profesional, confidencialidad y respeto estricto del alcance autorizado.\n* Pensamiento analítico, curiosidad y creatividad para encontrar vectores de ataque.\n* Comunicación clara de riesgos a perfiles técnicos y no técnicos.\n* Trabajo colaborativo con Desarrollo y DevOps para lograr remediación real.\n* Rigurosidad y orden en la documentación de evidencias.\n* Autonomía, proactividad y aprendizaje continuo.\n¿POR QUÉ ESTE CARGO ES DIFERENTE?\nPorque no vas a hacer pentest de check-list una vez al año. Vas a construir la práctica de pentest INTERNO continuo de una Fintech en crecimiento, validando la seguridad antes y después de la migración a la nueva arquitectura AWS. Tu trabajo baja exposición regulatoria real y evita incidentes que cuestan dinero y reputación.\nCONDICIONES ESPECIALES\nEste cargo tiene acceso a información sensible sobre vulnerabilidades de la compañía. Requiere firma de acuerdo de confidencialidad, aceptación de políticas del SGSI y estudio de seguridad aprobado antes del ingreso. Todas las pruebas se ejecutan bajo alcance y autorización formal de la Gerencia de Ciberseguridad.\nDisponibilidad OCASIONAL para pruebas en ventanas fuera de horario sobre ambientes productivos.\nQUE OFRECEMOS\n Bogotá \nCentro Internacional \n100% Presencial \nSalario: $3.000.000 $5.000.000 según experiencia + prestaciones de ley \nContrato: Término indefinido \n Horario: LV 8:45am a 5:30pm + sábados 8:45am a 12:00m \n¿ERES TÚ?\nSi te activa pensar como atacante para defender como ingeniero, si entiendes que un buen informe de pentest vale tanto como la vulnerabilidad encontrada,si tienes la ética para operar dentro del alcance autorizado sin cruzar líneas, y si la presencialidad de 6 días te suma en lugar de pesarte postúlate. \nAl postularte, autorizas a Aló Credit a contactarte por WhatsApp para informarte sobre la continuidad del proceso.-Requerimientos- Educación mínima: Universidad / Carrera Profesional
3 años de experiencia