Pentester Senior de APIs, Aplicaciones Web y Cloud

Sobre esta oportunidad

Distribusion Technologies, el marketplace líder a nivel mundial de transporte terrestre, busca un Pentester Senior para incorporarse lo antes posible bajo modalidad de contrato. La empresa ha construido una plataforma B2B que conecta a operadores de autobús, tren y ferri en más de 70 países con grandes minoristas en línea como Google Maps y Booking.com. En este rol probarás una superficie de ataque real: APIs de reservas para socios, flujos de pago, aplicaciones web y móviles usadas por millones de viajeros, y la infraestructura cloud que las sostiene.

Planificarás y ejecutarás tus propias pruebas, trabajarás directamente con los equipos de ingeniería para corregir los hallazgos y verás el impacto de tu trabajo en producción en cuestión de semanas.

Perfil buscado

Buscan a un profesional de seguridad ofensiva con experiencia sólida, autónomo, capaz de liderar evaluaciones de principio a fin y de explicar riesgos complejos de forma clara tanto a ingenieros como a la dirección. Debe poder empezar con poco tiempo de aviso.

Qué harás

• Probar las APIs de reservas para socios según el OWASP API Security Top 10: autorización a nivel de objeto y función, aislamiento entre tenants, mass assignment, exposición de datos y rate limiting.
• Evaluar la autenticación e integridad de las APIs de punta a punta: OAuth 2.0/OIDC, API keys, JWT, webhooks y firma de solicitudes.
• Detectar abusos de lógica de negocio en reservas, checkout, pagos y reembolsos, incluyendo race conditions y manipulación de precios.
• Realizar pruebas autenticadas de apps web y móviles para viajeros, socios y operadores, siguiendo OWASP WSTG y ASVS, incluyendo cómo se almacenan, muestran y exportan los datos personales de los pasajeros.
• Revisar configuraciones de cloud, Kubernetes y CI/CD, y el manejo de secretos, para identificar rutas de ataque encadenables desde un bug de aplicación.
• Mapear y probar con regularidad la superficie de ataque expuesta a internet.
• Hacer red teaming de las funciones de IA (asistentes, agentes, bots de soporte) con base en el OWASP Top 10 para aplicaciones LLM.
• Redactar hallazgos claros, reproducibles y clasificados por riesgo, con recomendaciones prácticas, acompañar a los ingenieros en las correcciones y verificarlas con retests.

Requisitos clave

• Más de 5 años de experiencia práctica en pentesting, principalmente de aplicaciones web y APIs, con proyectos recientes liderados de principio a fin.
• Conocimiento profundo de OWASP API Security Top 10, WSTG y ASVS, incluyendo modelos de autenticación/autorización (OAuth2/OIDC, JWT), IDOR/BOLA, mass assignment, SSRF, inyección y XSS.
• Experiencia encontrando vulnerabilidades de lógica de negocio y race conditions en sistemas transaccionales como reservas, e-commerce, pagos o fintech.
• Dominio de Burp Suite Pro (o similar) y capacidad de escribir tus propios scripts y herramientas (Python, Go o similar).
• Comodidad evaluando entornos cloud y de contenedores (preferiblemente GCP y Kubernetes) y pipelines de CI/CD.
• Capacidad de trabajar de forma independiente: definir alcance, priorizar, probar y reportar con mínima guía.
• Disponibilidad para empezar en corto plazo.
• Valorado: certificaciones como OSCP, OSWE, BSCP o similares; experiencia en red teaming de aplicaciones LLM o agentes de IA; pruebas en entornos PCI-DSS.

Beneficios de la posición

• Salario competitivo.
• Política de trabajo flexible, con opción remota y oportunidades internacionales a medida que la empresa se expande.
• Estructura organizacional plana, con autonomía, responsabilidad e impacto directo en el éxito de la compañía.
• Equipo internacional de personas talentosas que te inspiran, apoyan y retan cada día.

¿Por qué considerar esta empresa?

Distribusion es una de las startups de viajes de más rápido crecimiento, con sede en Berlín y respaldada por inversionistas como TQ Ventures, Lightrock, Creandum y Northzone. Tras su reciente ronda Serie C de 80 millones de dólares, la empresa busca seguir expandiendo su red global. Es una gran oportunidad para trabajar en un producto de alta carga, disponibilidad y escalabilidad, usado por millones de personas. Es una empresa remote-first con equipos en todo el mundo.

¿Te interesa? Aplica directamente desde el enlace de la vacante.