Nueva oportunidad

Senior Fraud & Security Ops Engineer

Chile Remoto Senior

Sobre la empresa

Fintech - Banca

Sobre el rol

Buscamos un/a Senior Fraud & Security Ops Engineer para sumarse al área de Prevención de Fraude de una compañía del sector fintech.

La posición tiene un enfoque especializado en seguridad ofensiva y fraude transaccional. El objetivo es pensar como un atacante para identificar vulnerabilidades en la lógica de negocio, los sistemas de validación de identidad (KYC) y los motores de scoring antifraude antes de que puedan ser explotadas y generar pérdidas económicas.

Buscamos una persona con experiencia práctica en pentesting de aplicaciones web, móviles y APIs, capaz de diseñar escenarios de ataque, desarrollar herramientas de automatización, validar vulnerabilidades mediante pruebas de concepto (PoC) y trabajar con los equipos de desarrollo para asegurar su remediación.

Responsabilidades

Pentesting orientado a fraude lógico: Ejecutar pruebas de penetración y simulaciones de ataques sobre aplicaciones web, móviles y APIs, identificando vulnerabilidades que permitan alterar saldos, manipular pasarelas de pago, duplicar beneficios o ejecutar transferencias no autorizadas.
Evaluación de controles de identidad: Diseñar y ejecutar pruebas ofensivas sobre sistemas de biometría, validación de identidad (KYC) y onboarding digital, identificando posibles bypasses mediante técnicas como ataques de presentación, inyección de video o identidades sintéticas.
Evaluación de motores antifraude: Analizar y probar reglas de scoring y motores de riesgo transaccional para detectar puntos ciegos en los mecanismos de prevención, simular patrones automatizados de fraude e identificar formas de evadir los umbrales de alerta.
Automatización de pruebas ofensivas: Desarrollar scripts y herramientas propias para automatizar escenarios de abuso de negocio, incluyendo simulaciones de Credential Stuffing y Account Takeover (ATO), y evaluar la resistencia de las plataformas ante ataques automatizados.
Validación de vulnerabilidades: Documentar hallazgos mediante pruebas de concepto reproducibles, con evidencia técnica clara y análisis del posible impacto financiero.
Colaboración con equipos de desarrollo: Traducir los hallazgos en acciones concretas de remediación, orientar a los equipos técnicos en la implementación de contramedidas y realizar retesteos para verificar la corrección de las vulnerabilidades.
Seguimiento del impacto: Contribuir a reducir las brechas de fraude lógico y los falsos negativos en los controles antifraude, evaluando la efectividad de las mitigaciones implementadas y documentando los resultados.

Requisitos

Entre 5 y 8 años de experiencia en seguridad ofensiva, pentesting o Red Team, con al menos 2 a 3 años especializados en fraude financiero o seguridad de aplicaciones transaccionales.
Experiencia comprobable en pentesting de aplicaciones web, móviles y APIs, con foco en lógica de negocio y fraude transaccional, más allá de las vulnerabilidades técnicas tradicionales.
Conocimientos avanzados de metodologías y estándares de seguridad ofensiva, como OWASP Top 10, OWASP API Security Top 10 y Web Security Testing Guide (WSTG).
Experiencia utilizando herramientas de interceptación y manipulación de solicitudes HTTP, como Burp Suite Professional u OWASP ZAP.
Experiencia evaluando APIs de validación biométrica y KYC, herramientas de enriquecimiento de datos, soluciones de device fingerprinting y motores de scoring antifraude en tiempo real.
Conocimiento práctico de técnicas de abuso de negocio y automatización, incluyendo manipulación de parámetros HTTP, evasión de rate limiting, Credential Stuffing y Account Takeover.
Experiencia desarrollando scripts y herramientas propias para pruebas ofensivas utilizando Python o un lenguaje equivalente.
Capacidad para documentar vulnerabilidades mediante PoC, explicar su impacto y acompañar a los equipos de desarrollo durante la remediación y el retesteo.

Deseables

Experiencia en fintech, banca o medios de pago, especialmente en pruebas de fraude lógico en entornos productivos.
Conocimientos de Machine Learning aplicado a la evasión de modelos de detección de fraude (adversarial ML).
Experiencia con frameworks y herramientas de explotación, como Metasploit o extensiones personalizadas de Burp Suite.
Conocimiento de normativa AML/CFT y su relación con los controles técnicos de identidad.
Participación en programas de bug bounty o CTFs orientados a vulnerabilidades de lógica de negocio.
Certificaciones como OSCP, GWAPT, CEH o eWPT/eWPTX.
Experiencia en plataformas de bug bounty como HackerOne o Bugcrowd, con reportes de vulnerabilidades validados.
Título en Ingeniería Civil Informática, Ingeniería en Ciberseguridad, Ingeniería en Sistemas o carrera afín. Se valorará especialización en seguridad ofensiva, ethical hacking o fraude financiero digital.
Inglés intermedio-avanzado para lectura de documentación técnica, metodologías internacionales y herramientas de seguridad.