Senior Penetration Tester API, Web & Cloud – Contrato (todos os géneros)

A Distribusion procura um Senior Penetration Tester para testes de segurança autenticados em APIs de reservas, pagamentos, aplicações web e mobile e infraestrutura cloud. O papel inclui planear e executar testes de forma independente, colaborar com equipas de engenharia e fazer red-teaming de funcionalidades de IA.

A Distribusion é o principal marketplace de transporte terrestre do mundo e oferece aos viajantes acesso perfeito ao transporte terrestre online, desde a pesquisa até à compra de bilhetes. Construímos uma plataforma tecnológica B2B de ponta que liga operadores de autocarro, ferrovia e ferry em mais de 70 países com os maiores retalhistas online, incluindo Google Maps e Booking.com. Estamos a moldar o futuro das viagens e a construir a maior rede global de prestadores de transporte e retalhistas. Somos uma das startups de viagens com mais rápido crescimento, apoiada por investidores de capital de risco de referência, incluindo TQ Ventures, Lightrock, Creandum e Northzone, e com sede em Berlim, Alemanha. Após o nosso recente financiamento Série C de $80m, estamos prontos para ir além. Procuramos um Penetration Tester Sénior experiente para se juntar a nós o mais rapidamente possível. Irá realizar testes de segurança práticos e autenticados num verdadeiro perímetro de ataque: APIs de reservas públicas orientadas para parceiros, fluxos de pagamento, aplicações web e móveis usadas por milhões de viajantes e a infraestrutura cloud por detrás destas. Irá planear e executar os seus próprios testes, trabalhar diretamente com as nossas equipas de engenharia para corrigir as descobertas e ver o seu impacto em produção em poucas semanas. O que irá fazer: Testar as nossas APIs de reservas orientadas para parceiros contra o OWASP API Security Top 10, com foco na autorização ao nível do objeto e da função, isolamento de inquilinos, atribuição em massa, exposição de dados e limitação de taxa. Avaliar a autenticação e a integridade das APIs de ponta a ponta, incluindo OAuth 2.0/OIDC, chaves de API, JWTs, webhooks e assinatura de pedidos. Procurar abusos de lógica de negócio nos fluxos de reserva, checkout, pagamento e reembolso, incluindo condições de corrida e manipulação de preços. Executar testes autenticados de aplicações web e móveis orientadas para viajantes, parceiros e operadores seguindo o OWASP WSTG e ASVS, incluindo como os dados pessoais dos passageiros são armazenados, apresentados e exportados. Rever configurações de cloud, Kubernetes e CI/CD e gestão de segredos para caminhos de ataque que possam ser encadeados a partir de um bug de aplicação. Mapear e testar regularmente o nosso perímetro de ataque orientado para a internet. Fazer red teaming das nossas funcionalidades de IA (assistentes, agentes, bots de suporte) contra o OWASP Top 10 for LLM Applications. Escrever descobertas claras, reproduzíveis e classificadas por risco com orientações práticas de remediação, guiar os engenheiros nas correções e verificá-las com novos testes. Local de trabalho: Somos uma empresa remote-first com equipas localizadas em todo o mundo e uma sede em Berlim. Requisitos Quem é você: Traz 5+ anos de testes de penetração práticos, principalmente de aplicações web e APIs, e consegue indicar projetos recentes que liderou de ponta a ponta. Tem conhecimento profundo e prático do OWASP API Security Top 10, WSTG e ASVS, incluindo modelos de autenticação/autorização (OAuth2/OIDC, JWT), IDOR/BOLA, atribuição em massa, SSRF, injeção e XSS. Encontrou vulnerabilidades de lógica de negócio e condições de corrida em sistemas transacionais como reservas, e-commerce, pagamentos ou fintech. É fluente com o Burp Suite Pro (ou similar) e escreve os seus próprios scripts e ferramentas (Python, Go ou similar). Confortável em avaliar ambientes cloud e de contentores (GCP preferencial, Kubernetes) e pipelines CI/CD. Trabalha de forma independente: define o âmbito, prioriza, testa e reporta com orientação mínima, e explica riscos complexos de forma simples aos engenheiros e à liderança. Disponível para começar com pouca antecedência. Pontos Extra: Certificações OSCP, OSWE, BSCP ou similares; experiência em red teaming de aplicações LLM ou agentes de IA; testes em ambientes PCI-DSS. O que pode esperar: Juntar-se-á a uma empresa de tecnologia de viagens dinâmica com uma estrutura organizacional plana. Terá oportunidades emocionantes, propriedade e responsabilidade e contribuirá diretamente para o sucesso da empresa. Juntar-se-á a uma equipa internacional de pessoas talentosas e motivadas com uma missão clara. Espere que os seus colegas o inspirem, apoiem e desafiem todos os dias! Temos uma política de trabalho flexível com a opção de trabalhar remotamente e oportunidades internacionais que surgem à medida que continuamos a expandir a nossa presença global – O nosso coração está em Berlim, mas encontrar-nos-á por todo o mundo. Receberá um salário competitivo. A nossa equipa de recrutamento para esta função: O seu Talent Partner (TP) e ponto de contacto é Lorena Rebenciuc, e o Hiring Manager (HM) é Ilya Isakov. Para quaisquer questões, contacte o seu Talent Partner em talent@distribusion.com . Quer trabalhar num produto usado por milhões de pessoas diariamente com alta carga, disponibilidade e escalabilidade e a tecnologia mais avançada? Junte-se a nós!