Application Security Engineer - AppSec Fintech

Sobre Retorna

En Retorna trabajamos por la democratización de las finanzas. Somos una fintech especializada en remesas y pagos transfronterizos, con operaciones en Chile, Colombia, Perú, Brasil, Venezuela y España, y un equipo 100% remoto. Estamos en una etapa de crecimiento acelerado y estamos fortaleciendo nuestra función de Ciberseguridad.

Sobre el rol

Reportarás al CISO y protegerás la nube y las aplicaciones web y móviles de Retorna. Buscarás vulnerabilidades antes que los atacantes, asegurarás nuestra infraestructura en AWS y trabajarás junto a los equipos de desarrollo para que el software se construya seguro desde el inicio. Colaborarás con Ingeniería, Plataforma/DevOps, IT, GRC y Riesgo Tecnológico.

Tareas

• Revisar y asegurar la configuración de AWS (IAM, redes, almacenamiento, cifrado y registros) y definir líneas base de hardening alineadas con CIS Benchmarks.

• Monitorear la postura de seguridad cloud (CSPM) y revisar la infraestructura como código (Terraform o CloudFormation) antes del despliegue.

• Integrar SAST, SCA, detección de secretos y DAST en los pipelines de CI/CD.

• Realizar threat modeling y revisiones de código y APIs con foco en OWASP Top 10, OWASP API Security Top 10, OWASP Top 10 for LLM Applications y OWASP MASVS.

• Acompañar a los desarrolladores en la remediación y promover la cultura de desarrollo seguro con security champions.

• Ejecutar pentests internos sobre aplicaciones web, móviles, APIs y cloud dentro de un alcance autorizado, y coordinar los pentests de proveedores externos hasta el retest.

• Simular técnicas basadas en MITRE ATT&CK en ejercicios de purple team para validar controles y capacidad de detección.

• Gestionar el ciclo de vida de vulnerabilidades en Jira, desde la priorización por riesgo hasta la verificación del cierre, y aportar evidencia técnica a GRC para ISO 27001.

Requisitos

• 2 a 4 años de experiencia en ciberseguridad, con foco en seguridad cloud, seguridad de aplicaciones o pentesting.

• Experiencia práctica asegurando entornos en AWS (u otra nube pública, con disposición a trabajar en AWS).

• Experiencia ejecutando pentests sobre aplicaciones web y/o APIs y redactando informes con hallazgos y recomendaciones.

• Conocimiento sólido de OWASP Top 10 y capacidad para explicar vulnerabilidades y su corrección a desarrolladores.

• Lectura de código en al menos un lenguaje moderno y capacidad de escribir scripts.

• Inglés técnico de lectura.

Suma puntos si tienes:

• Certificaciones ofensivas (OSCP, eJPT/eCPPT, PNPT, BSCP) o cloud y defensivas (AWS Certified Security Specialty, CCSK, BTL1, GCIH).

• Experiencia en pruebas de seguridad de aplicaciones móviles (Android/iOS).

• Experiencia implementando DevSecOps en pipelines de CI/CD.

• Experiencia en fintech, banca o industrias reguladas.

• Participación en bug bounty, CTFs o aportes a la comunidad de seguridad.

Beneficios

• Trabajo 100% remoto desde LATAM.

• Días libres ilimitados.

• Impacto directo en la construcción de la función de Ciberseguridad de una fintech en crecimiento.

¿Piensas como atacante, pero trabajas como aliado de los equipos de desarrollo? Postula y conversemos.