Application Security Engineer

Misión del rol

Buscamos un/a Application Security Engineer que encuentre y reporte vulnerabilidades en las aplicaciones, APIs, pipelines de CI/CD y sistemas de IA de Monato antes de que lo haga un atacante, para proteger la infraestructura de pagos B2B que usan nuestros clientes.

¿Por qué este rol importa?
Buscamos un/a Application Security Engineer para ser el owner del track Secure SDLC y de la validación ofensiva del programa de seguridad, asegurando que las vulnerabilidades críticas se detecten y remedien antes de llegar a producción, y contribuyendo a que Monato opere una plataforma de pagos confiable y segura en un entorno regulado.

Lo que harás

• Ejecutar pruebas de penetración sobre los aplicativos de Monato (Pagos, Finch, Conciliación y APIs internas y externas), cubriendo lógica de negocio, autenticación y OWASP Top 10, y coordinando pentests con proveedores externos.
• Operar el programa de bug bounty, definiendo scope y reglas de engagement, haciendo triage de reportes y coordinando la remediación con los equipos de producto.
• Construir el track Secure SDLC, integrando SAST, SCA, secret scanning, SBOM y firma de imágenes (Cosign + SLSA) en los pipelines de CI/CD para bloquear problemas antes del merge.
• Evaluar la seguridad de los sistemas de IA y agentes, probando prompt injection, tool poisoning, RAG poisoning y abuso de workflows agénticos con base en OWASP LLM Top 10 y MITRE ATLAS.
• Validar las detecciones del Blue Team, ejecutando simulaciones de TTPs del sector financiero (framework ATT&CK, BAS continuo) y ejercicios Purple Team con informe mensual de cobertura.
• Producir threat models de los componentes críticos (pipeline de pagos, APIs externas, sistemas de IA), participando en revisiones de arquitectura y reportando al CISO el cumplimiento del Secure SDLC.

Perfil y habilidades clave

• 4+ años de experiencia en Application Security, Penetration Testing o Red Team, con enfoque en aplicaciones web, APIs y entornos cloud.
• Experiencia ejecutando pruebas de penetración en aplicaciones financieras o de pagos: lógica de negocio, autorización y flujos de transacción.
• Experiencia práctica atacando o evaluando sistemas que usan LLMs y agentes (prompt injection, jailbreaking, tool poisoning, data leakage), con OWASP LLM Top 10 y MITRE ATLAS como marcos de referencia.
• Experiencia integrando SAST/SCA (Semgrep, CodeQL, Snyk o equivalente) y secret scanning (GitGuardian, TruffleHog) en pipelines de CI/CD con GitHub Actions o equivalente.
• Dominio de Burp Suite Pro y scripting en Python para automatización de pruebas y análisis de resultados.
• Conocimiento práctico de OWASP Top 10, OWASP API Security Top 10 y arquitecturas cloud (AWS) desde la perspectiva de un atacante.
• Experiencia con herramientas de simulación adversarial: Atomic Red Team, Caldera, AttackIQ o SafeBreach.
• Haber operado o participado activamente en un programa de bug bounty, desde el triage o el hunting.
• Hallazgos críticos en sistemas de IA en producción (CVE, writeup o CTF), historial en HackerOne/Bugcrowd en fintech, o certificaciones OSCP, OSWE, BSCP, GWAPT o GPEN (nice to have).

Lo que obtendrás

• Un rol con ownership real sobre el track Secure SDLC y la validación ofensiva del programa de seguridad.
• Exposición directa a la infraestructura de pagos B2B en México y a la seguridad de sistemas de IA en producción.
• Espacio para experimentar, proponer y construir.
• Crecimiento profesional acelerado dentro de una fintech en etapa de construcción y escala.
• Cultura de trabajo flexible y enfocada en ejecución.

Acerca de Monato

En Monato construimos infraestructura financiera moderna para empresas en México, integrando servicios financieros de forma ágil y segura. Operamos en un entorno regulado donde la estabilidad y el cumplimiento son fundamentales, y diseñamos soluciones que reducen la fricción bancaria para habilitar el crecimiento de nuestros clientes. Somos un equipo orientado a la ejecución, enfocado en construir, iterar y mejorar constantemente.