Application Security Engineer

Job not on LinkedIn

🔥 0 minutes ago

Apply Now

Find Similar Remote Jobs

Set Up Email Alert For New Jobs

📊 Check your resume score for this job

Improve your chances of getting an interview by checking your resume score before you apply.

Upload Resume

Monato

WebsiteLinkedInAll Job Openings

51 - 200 employees

Founded 2024

💳 Fintech

🔌 API

🤝 B2B

🔥 Funding within the last year

💰 $13M Seed on 2025-09

Fintech • API • B2B

Monato is a Mexican fintech that provides multi-rail financial infrastructure and a developer-first API to automate payments and financial operations. It offers real-time SPEI payments, account issuance (custom CLABES), automated reconciliation, domiciliation, pay-ins/pay-outs, a cash in/out network, international payments, and integrated funding and credit services. Monato focuses on removing operational, regulatory and risk friction so fintechs, retailers and SMEs can scale their financial products and flows.

📋 Description

• Ejecutar pruebas de penetración sobre los aplicativos de Monato (Pagos, Finch, Conciliación y APIs internas y externas), cubriendo lógica de negocio, autenticación y OWASP Top 10, y coordinando pentests con proveedores externos. • Operar el programa de bug bounty, definiendo scope y reglas de engagement, haciendo triage de reportes y coordinando la remediación con los equipos de producto. • Construir el track Secure SDLC, integrando SAST, SCA, secret scanning, SBOM y firma de imágenes (Cosign + SLSA) en los pipelines de CI/CD para bloquear problemas antes del merge. • Evaluar la seguridad de los sistemas de IA y agentes, probando prompt injection, tool poisoning, RAG poisoning y abuso de workflows agénticos con base en OWASP LLM Top 10 y MITRE ATLAS. • Validar las detecciones del Blue Team, ejecutando simulaciones de TTPs del sector financiero (framework ATT&CK, BAS continuo) y ejercicios Purple Team con informe mensual de cobertura. • Producir threat models de los componentes críticos (pipeline de pagos, APIs externas, sistemas de IA), participando en revisiones de arquitectura y reportando al CISO el cumplimiento del Secure SDLC.

🎯 Requirements

• 4+ años de experiencia en Application Security, Penetration Testing o Red Team, con enfoque en aplicaciones web, APIs y entornos cloud. • Experiencia ejecutando pruebas de penetración en aplicaciones financieras o de pagos: lógica de negocio, autorización y flujos de transacción. • Experiencia práctica atacando o evaluando sistemas que usan LLMs y agentes (prompt injection, jailbreaking, tool poisoning, data leakage), con OWASP LLM Top 10 y MITRE ATLAS como marcos de referencia. • Experiencia integrando SAST/SCA (Semgrep, CodeQL, Snyk o equivalente) y secret scanning (GitGuardian, TruffleHog) en pipelines de CI/CD con GitHub Actions o equivalente. • Dominio de Burp Suite Pro y scripting en Python para automatización de pruebas y análisis de resultados. • Conocimiento práctico de OWASP Top 10, OWASP API Security Top 10 y arquitecturas cloud (AWS) desde la perspectiva de un atacante. • Experiencia con herramientas de simulación adversarial: Atomic Red Team, Caldera, AttackIQ o SafeBreach. • Haber operado o participado activamente en un programa de bug bounty, desde el triage o el hunting. • Hallazgos críticos en sistemas de IA en producción (CVE, writeup o CTF), historial en HackerOne/Bugcrowd en fintech, o certificaciones OSCP, OSWE, BSCP, GWAPT o GPEN (nice to have).

🏖️ Benefits

• Un rol con ownership real sobre el track Secure SDLC y la validación ofensiva del programa de seguridad. • Exposición directa a la infraestructura de pagos B2B en México y a la seguridad de sistemas de IA en producción. • Espacio para experimentar, proponer y construir. • Crecimiento profesional acelerado dentro de una fintech en etapa de construcción y escala. • Cultura de trabajo flexible y enfocada en ejecución.