Ethical Hacker Brasil 2026: Pentester

Você quer entrar em segurança ofensiva, mas parece que todo mundo já sabe explorar falhas, tem certificação cara e fala como se conseguir vaga de pentester fosse simples. Aí você abre uma vaga de Ethical Hacker no Brasil, vê requisitos como OWASP, Burp Suite, Linux, cloud, AD, Python, relatório executivo, inglês, e pensa: “por onde eu começo sem perder tempo?”

A boa notícia: em 2026, pentester continua sendo uma das portas mais interessantes em cibersegurança no Brasil. A notícia honesta: não é uma carreira de “hacker de filme”. Empresas como Itaú, Nubank, Stone, iFood, Magalu e Globo querem gente que encontra falhas, explica risco, documenta bem e ajuda o time a corrigir.

Se você quer virar Ethical Hacker, ou sair de analista SOC, suporte, dev ou infraestrutura para pentest, este guia é para você.

O que faz um Ethical Hacker, na prática#

Ethical Hacker, pentester e analista de segurança ofensiva costumam aparecer como nomes parecidos nas vagas. Na prática, a pessoa simula ataques autorizados para encontrar vulnerabilidades antes que criminosos encontrem.

Você pode testar:

1. Aplicações web.
2. APIs.
3. Aplicativos mobile.
4. Infraestrutura interna.
5. Active Directory.
6. Ambientes cloud, como AWS, Azure e GCP.
7. Redes Wi-Fi.
8. Engenharia social, quando autorizado.
9. Configurações de containers e Kubernetes.
10. Segurança de código e pipelines.

O foco não é “invadir por invadir”. O foco é gerar evidência, explicar impacto e orientar correção.

Um bom pentester não entrega só um print do Burp com um alerta vermelho. Ele mostra como a falha pode virar fraude, vazamento, indisponibilidade ou acesso indevido.

Em banco como Itaú ou Nubank, uma falha em autenticação pode significar risco financeiro grande. Em empresas como iFood ou Magalu, uma vulnerabilidade em API pode expor dados de clientes, cupons, pedidos ou informações de parceiros.

Salários de pentester no Brasil em 2026#

Os salários variam bastante por senioridade, cidade, modelo remoto, inglês e tipo de empresa.

Uma faixa realista para 2026 no Brasil:

• Júnior em segurança ofensiva: R$4k a R$7k.
• Pleno: R$8k a R$14k.
• Sênior: R$15k a R$25k.
• Especialista ou Red Team: R$22k a R$35k.
• Consultoria internacional remota: $60k a $120k por ano, dependendo do contrato.

Em fintechs e bancos, como Nubank, Itaú, Stone e PicPay, vagas sênior podem passar de R$20k quando exigem cloud, appsec, inglês e experiência real com ambientes críticos.

Em consultorias, o salário pode começar menor, mas você ganha volume de projetos. Em 12 meses, você pode testar banco, varejo, healthtech, indústria e SaaS. Isso acelera muito o currículo.

Pentester é diferente de Red Team?#

Sim, e essa confusão atrapalha muita gente.

Pentest costuma ter escopo definido. Por exemplo: testar uma API de pagamentos, uma aplicação web, uma rede interna ou um app Android. Existe prazo, limite, autorização e entregável final.

Red Team é mais próximo de simulação de adversário. O objetivo pode ser testar detecção, resposta, processos e exposição real da empresa. Pode envolver phishing autorizado, movimentação lateral, evasão, persistência e exploração em cadeia.

Para começar, foque em pentest. Depois, quando você tiver base forte em web, rede, sistemas, Active Directory e cloud, Red Team começa a fazer mais sentido.

O perfil que as empresas querem#

A maioria das vagas boas não procura só alguém que sabe rodar ferramenta. Elas procuram uma pessoa que entende risco.

Um recrutador técnico vai gostar se você mostra:

• Clareza para explicar vulnerabilidades.
• Ética e cuidado com dados.
• Boa escrita para relatório.
• Capacidade de priorizar falhas.
• Entendimento de negócio.
• Curiosidade técnica.
• Mentalidade de investigação.
• Noção de desenvolvimento seguro.
• Comunicação com devs, produto e gestão.

Sim, você precisa saber usar ferramentas. Mas se você não consegue explicar para um gerente por que um IDOR em uma API é grave, perde pontos.

Em empresas como Globo ou Magalu, segurança precisa conversar com times grandes. Você pode encontrar uma falha em um serviço, mas vai precisar orientar devs, acompanhar correção e validar se o patch resolveu.

Habilidades técnicas essenciais para pentester#

Se você está montando seu plano de estudos, não tente aprender tudo ao mesmo tempo. Segurança ofensiva é uma área enorme. O caminho mais inteligente é construir uma base sólida e depois especializar.

1. Linux sem medo

Você não precisa ser administrador Linux sênior no primeiro mês. Mas precisa se sentir confortável no terminal.

Aprenda:

• Navegação por diretórios.
• Permissões.
• Processos.
• Rede básica.
• Instalação de pacotes.
• Bash básico.
• Uso de grep, awk, sed e curl.
• SSH.
• Manipulação de arquivos.

Kali Linux é útil, mas não é mágica. Você pode começar com Ubuntu, Debian ou uma VM Kali para laboratório.

2. Redes de verdade

Muita gente pula redes e sofre depois.

Você precisa entender:

• TCP/IP.
• DNS.
• HTTP e HTTPS.
• Portas comuns.
• NAT.
• VPN.
• TLS.
• Sub-redes.
• Firewalls.
• Proxy.
• Roteamento básico.

Se você não entende como uma requisição sai do navegador e chega no servidor, fica difícil explorar e explicar falhas web.

3. Web e APIs

Hoje, boa parte das vagas de Ethical Hacker no Brasil envolve aplicações web e APIs. OWASP Top 10 continua sendo obrigatório.

Estude bem:

• Broken Access Control.
• Injection.
• Cross-Site Scripting, XSS.
• SSRF.
• CSRF.
• IDOR.
• Autenticação e sessão.
• Upload inseguro.
• Exposição de dados sensíveis.
• Rate limiting.
• JWT.
• OAuth2 e OpenID Connect.
• GraphQL.

Use PortSwigger Web Security Academy. É grátis e excelente. Se você terminar boa parte dos labs, já vai ter assunto real para entrevista.

4. Burp Suite

Burp Suite é quase idioma oficial em pentest web.

Você precisa saber usar:

• Proxy.
• Repeater.
• Intruder.
• Decoder.
• Comparer.
• Logger.
• Extensões.
• Match and replace.
• Manipulação de cookies e tokens.

A versão Community já ajuda muito. Se você conseguir usar Burp para provar uma falha manualmente, melhor do que só citar scanner no currículo.

5. Programação suficiente para atacar e entender

Você não precisa virar dev full stack, mas precisa ler código e automatizar tarefas.

Boas opções:

• Python para scripts.
• JavaScript para web.
• Bash para automação simples.
• SQL para entender injection.
• Noções de Java, C# ou Go, dependendo das vagas.

Se você já é dev, tem vantagem. Sua missão é aprender o olhar ofensivo: onde controles falham, onde validações são só no front-end, onde permissões são mal aplicadas.

6. Active Directory

Para pentest interno e Red Team, Active Directory é muito importante.

Aprenda:

• Usuários, grupos e permissões.
• Kerberos.
• NTLM.
• LDAP.
• GPO.
• Enumeração.
• Ataques comuns.
• BloodHound.
• Kerberoasting.
• AS-REP Roasting.
• Pass-the-Hash.
• Delegações.

Muitas empresas grandes no Brasil ainda têm ambientes Windows complexos. Saber AD pode diferenciar você.

7. Cloud security

Em 2026, cloud não é diferencial, é quase requisito em vagas melhores.

Comece por:

• IAM.
• Buckets públicos.
• Security groups.
• Logs.
• Secrets.
• Roles.
• Privilégios excessivos.
• Metadata service.
• Serverless.
• Containers.

AWS aparece muito, mas Azure é forte em empresas corporativas. GCP aparece bastante em empresas digitais.

Uma vaga em fintech pode pedir pentest em APIs, revisão de IAM e entendimento de Kubernetes. Não precisa saber tudo no início, mas precisa mostrar direção.

Certificações que ajudam no Brasil#

Certificação não substitui habilidade, mas ajuda a passar por filtros e dar confiança ao recrutador.

Para começar

• Security+.
• eJPT.
• Google Cybersecurity Certificate.
• ISO 27001 Foundation, se você quiser entender governança também.

A eJPT costuma ser uma boa porta para quem quer mostrar prática sem gastar o valor de certificações mais caras.

Intermediárias e fortes para pentest

• PNPT.
• Burp Suite Certified Practitioner.
• CRTO, para quem vai para Red Team.
• AWS Security Specialty, se cloud for foco.
• OSCP.

OSCP ainda pesa bastante, principalmente em consultorias e vagas internacionais. Mas seja honesto: não comece por ela se você ainda não tem base. Você pode se frustrar e gastar caro.

Para muita gente, o caminho ideal é:

1. Linux, redes e web.
2. PortSwigger Academy.
3. TryHackMe ou Hack The Box.
4. eJPT.
5. Projetos e relatórios.
6. PNPT ou OSCP.

Como montar portfólio sem trabalhar na área ainda#

Essa é uma das maiores dores: “como ter experiência se ninguém me dá a primeira vaga?”

Você pode construir prova pública de habilidade sem atacar empresa real.

Faça assim:

1. Escreva write-ups autorizados

Use laboratórios como:

• TryHackMe.
• Hack The Box.
• PortSwigger Academy.
• PentesterLab.
• WebGoat.
• DVWA.
• Juice Shop.

Escreva posts explicando:

• Qual era a falha.
• Como você encontrou.
• Qual era o impacto.
• Como corrigir.
• O que você aprendeu.

Não precisa revelar solução de máquina ativa ou violar regras da plataforma. Foque em labs permitidos e conteúdo educacional.

2. Crie relatórios de pentest fictícios

Pegue uma aplicação vulnerável local, como OWASP Juice Shop, e faça um relatório profissional.

Inclua:

• Sumário executivo.
• Escopo.
• Metodologia.
• Severidade.
• Evidências.
• Passo a passo.
• Impacto.
• Recomendação.
• Reteste.

Isso mostra maturidade. Muita gente sabe explorar XSS, pouca gente sabe escrever relatório que um cliente entende.

3. Publique scripts simples no GitHub

Exemplos:

• Script para checar headers de segurança.
• Parser de resultados de Nmap.
• Automatizador de screenshots.
• Pequeno scanner de exposição de buckets em ambiente de laboratório.
• Ferramenta de wordlist personalizada.

Não precisa criar a próxima grande ferramenta de segurança. Mostre raciocínio e organização.

4. Participe de CTFs

CTF não é igual trabalho real, mas ajuda. Coloque no currículo se for relevante.

Melhor ainda se você explicar resultados:

• “Top 15% em CTF web com foco em XSS, SQLi e SSRF.”
• “Resolvi 80 labs da PortSwigger Academy, incluindo Access Control e JWT.”
• “Completei trilha Jr Penetration Tester no TryHackMe.”

Como conseguir a primeira vaga de pentester#

Você pode entrar por alguns caminhos.

Caminho 1: Estágio ou júnior direto

Ideal se você está no começo da carreira.

Procure títulos como:

• Estagiário de Segurança da Informação.
• Analista de Segurança Júnior.
• Pentester Júnior.
• Analista AppSec Júnior.
• Consultor de Segurança Ofensiva Júnior.
• Analista de Vulnerabilidades.

Nem toda vaga vai ter “hacker” no nome. Muitas oportunidades boas estão com nomes mais corporativos.

Caminho 2: SOC para ofensiva

Se você já trabalha em SOC, use isso a seu favor. Você entende alerta, SIEM, EDR, incidente e comportamento de ataque.

No currículo, conecte sua experiência:

• Investigação de alertas.
• Análise de logs.
• MITRE ATT&CK.
• Vulnerabilidades exploradas em incidentes.
• Melhorias em detecção.
• Simulações internas autorizadas.

Depois, faça labs de pentest para provar a parte ofensiva.

Caminho 3: Desenvolvimento para AppSec

Dev que aprende segurança vira candidato forte para AppSec e pentest web.

Você pode destacar:

• Revisão de código.
• APIs REST.
• Autenticação.
• Banco de dados.
• CI/CD.
• Correção de vulnerabilidades.
• Threat modeling básico.
• Testes de segurança em pipeline.

Empresas como iFood, Nubank e Stone valorizam muito quem consegue falar com devs sem criar atrito.

Caminho 4: Infraestrutura para pentest interno

Se você vem de redes, suporte ou sysadmin, foque em infraestrutura, AD e cloud.

Destaque:

• Administração Windows/Linux.
• Redes.
• Firewalls.
• VPN.
• Hardening.
• IAM.
• Scripts.
• Monitoramento.
• Vulnerability management.

Você já conhece o ambiente que um atacante exploraria. Agora precisa aprender metodologia ofensiva.

O que colocar no currículo de Ethical Hacker#

Seu currículo precisa passar por ATS, recrutador e pessoa técnica. Não adianta ser bonito e vazio.

Use títulos claros:

• Analista de Segurança Ofensiva.
• Pentester.
• Analista de Segurança da Informação.
• Application Security.
• Vulnerability Management.

Resumo profissional bom

Exemplo:

“Analista de Segurança com foco em pentest web e APIs, experiência em Burp Suite, OWASP Top 10, Linux, redes e elaboração de relatórios técnicos. Prática em laboratórios como PortSwigger Academy e TryHackMe, com projetos publicados no GitHub e foco em identificação, exploração controlada e recomendação de correções.”

Se você já tem experiência:

“Pentester Pleno com 3 anos de experiência em testes de aplicações web, APIs e infraestrutura interna para clientes de financeiro, varejo e tecnologia. Atuação com Burp Suite, Nmap, Nessus, OWASP Top 10, Active Directory e cloud AWS, entregando relatórios executivos, evidências técnicas e retestes.”

Palavras-chave importantes

Inclua, se forem verdadeiras:

• Pentest.
• Ethical Hacking.
• OWASP Top 10.
• Burp Suite.
• Nmap.
• Nessus.
• SQL Injection.
• XSS.
• SSRF.
• IDOR.
• CSRF.
• JWT.
• OAuth2.
• API Security.
• Linux.
• Python.
• Bash.
• Active Directory.
• BloodHound.
• Kerberos.
• AWS.
• Azure.
• Docker.
• Kubernetes.
• CVSS.
• MITRE ATT&CK.
• Vulnerability Assessment.
• Report Writing.

Não encha o currículo com ferramenta que você abriu uma vez. Em entrevista técnica, isso cai rápido.

Como descrever projetos

Use bullet points com impacto.

Exemplos:

• Realizei teste de segurança em ambiente OWASP Juice Shop, identificando falhas de XSS, IDOR e controle de acesso, com relatório técnico e recomendações de correção.
• Completei 60 labs da PortSwigger Academy em Access Control, Authentication, JWT e SQL Injection.
• Desenvolvi script em Python para organizar resultados de Nmap e reduzir tempo de triagem em laboratório.
• Simulei pentest interno em laboratório Active Directory, explorando má configuração de permissões e documentando caminho de ataque.

Como se preparar para entrevista técnica#

Entrevista de pentest costuma misturar conversa, cenário e perguntas práticas.

Você pode ouvir:

• Como você testaria login de uma aplicação?
• Explique IDOR com exemplo.
• Qual a diferença entre XSS refletido e armazenado?
• Como você validaria uma SQL Injection?
• O que é SSRF e qual o impacto em cloud?
• Como funciona Kerberoasting?
• O que você faz ao encontrar dados sensíveis durante um teste?
• Como priorizar vulnerabilidades?
• Como escrever uma recomendação para dev?
• Como agir se sair do escopo sem querer?

Responda com método. Não tente parecer gênio.

Uma boa resposta segue esta lógica:

1. Confirmo escopo e autorização.
2. Entendo a funcionalidade.
3. Mapeio entradas e fluxos.
4. Testo hipóteses com cuidado.
5. Registro evidências.
6. Avalio impacto.
7. Sugiro correção.
8. Faço reteste.

Isso mostra maturidade profissional.

Ética: o ponto que pode salvar ou acabar com sua carreira#

Ethical Hacker sem ética é risco.

Nunca teste empresa real sem autorização. Nunca explore CPF, cartão, token, dados médicos ou credenciais fora de escopo. Nunca publique vulnerabilidade sem processo responsável.

Se você encontrar uma falha sem querer, pare, registre o mínimo necessário e procure um canal oficial. Muitas empresas têm programa de bug bounty ou security.txt.

No Brasil, algumas empresas têm programas públicos ou privados de bug bounty. Mesmo assim, leia as regras. O que é permitido em uma empresa pode ser proibido em outra.

Sua reputação é ativo de carreira. Uma atitude ruim pode fechar portas em bancos, consultorias e empresas grandes.

Bug bounty ajuda a conseguir emprego?#

Ajuda, mas não é obrigatório.

Bug bounty pode mostrar prática real, principalmente se você tiver relatórios aceitos em plataformas conhecidas. Mas não romantize. É competitivo, pode pagar pouco no começo e exige paciência.

Se você usar bug bounty como portfólio, destaque:

• Tipo de falha encontrada.
• Severidade.
• Impacto.
• Status, se permitido.
• Valor recebido, se quiser.
• Aprendizado técnico.

Exemplo:

“Reporte aceito de IDOR em programa privado de bug bounty, com impacto de acesso indevido a dados de usuário, classificado como severidade alta.”

Se o programa não permite divulgação, respeite. Você pode falar de forma genérica.

Plano de estudos de 6 meses para virar candidato competitivo#

Aqui vai um plano realista para quem estuda 8 a 12 horas por semana.

Mês 1: base

• Linux básico.
• Redes.
• HTTP.
• Git e GitHub.
• Python básico.
• Laboratórios simples.

Meta: conseguir explicar uma requisição HTTP, usar terminal e escrever scripts pequenos.

Mês 2: web security

• OWASP Top 10.
• Burp Suite.
• PortSwigger Academy.
• XSS.
• SQLi.
• Access Control.

Meta: completar 30 a 40 labs e escrever 2 write-ups.

Mês 3: APIs e autenticação

• REST.
• JWT.
• OAuth2.
• IDOR.
• Rate limit.
• Postman.
• GraphQL básico.

Meta: fazer um mini pentest em API vulnerável de laboratório.

Mês 4: infraestrutura

• Nmap.
• Enumeração.
• Serviços comuns.
• Linux privilege escalation básico.
• Windows básico.
• Conceitos de AD.

Meta: completar trilhas iniciais no TryHackMe ou HTB Academy.

Mês 5: relatório e portfólio

• Relatório de pentest completo.
• CVSS.
• Escrita executiva.
• GitHub organizado.
• LinkedIn atualizado.
• Currículo focado em ATS.

Meta: ter 1 relatório PDF profissional e 3 projetos públicos.

Mês 6: aplicação para vagas

• Simulados de entrevista.
• Ajuste de currículo para cada vaga.
• Networking.
• Certificação inicial, se possível.
• Candidaturas consistentes.

Meta: aplicar para 10 a 20 vagas por semana com currículo adaptado.

Erros que travam sua entrada na área#

Alguns erros são comuns e evitáveis.

1. Só colecionar curso

Curso sem prática não vira vaga. Para cada módulo que você assistir, faça laboratório, anote e publique algo.

2. Querer começar por Red Team avançado

É legal estudar técnicas avançadas, mas vaga júnior quer base. Web, redes, Linux e relatório valem muito.

3. Usar linguagem exagerada no currículo

Evite frases como “hacker apaixonado por quebrar sistemas”. Prefira linguagem profissional: “segurança ofensiva”, “testes autorizados”, “identificação de vulnerabilidades”, “recomendações de correção”.

4. Ignorar comunicação

Pentester que não escreve bem sofre. Relatório é parte do produto. Treine explicar falhas para pessoas técnicas e não técnicas.

5. Não adaptar o currículo

Uma vaga de AppSec pede web, código e API. Uma vaga de pentest interno pede AD, rede e Windows. Uma vaga cloud pede IAM, AWS e containers. Ajuste seu currículo para cada uma.

Como crescer depois da primeira vaga#

Depois que você entra, o jogo muda. Você precisa escolher direção.

Possíveis trilhas:

• Pentest Web e API.
• AppSec.
• Red Team.
• Cloud Security.
• Mobile Security.
• Segurança em produto.
• Pesquisa de vulnerabilidades.
• Consultoria.
• Liderança técnica.

Um pentester sênior no Brasil que combina web, cloud, AD, inglês e boa comunicação pode mirar R$20k a R$30k em empresas fortes. Com inglês e contratação internacional, pode mirar $80k, $100k ou mais por ano.

Mas isso vem com consistência. Você melhora a cada relatório, cada reteste, cada conversa com dev, cada incidente estudado.

Checklist rápido para sua carreira de Ethical Hacker em 2026#

Antes de sair aplicando, veja se você tem pelo menos parte disso:

• Currículo com palavras-chave da vaga.
• LinkedIn claro e profissional.
• GitHub com projetos simples.
• 2 ou 3 write-ups autorizados.
• 1 relatório de pentest fictício.
• Burp Suite no currículo com prática real.
• Base de OWASP Top 10.
• Noção de redes e Linux.
• Inglês técnico em evolução.
• Respostas preparadas para entrevista.
• Cuidado total com ética e autorização.

Se você ainda não tem tudo, tudo bem. Use isso como mapa, não como motivo para desistir.

Vale a pena virar Ethical Hacker no Brasil?#

Sim, se você gosta de investigar, estudar sempre e explicar coisas complexas de forma simples.

Não é uma carreira fácil. Você vai bater cabeça em laboratório, tomar “não” em vaga, travar em conceito de rede, refazer relatório e perceber que saber explorar é só uma parte do trabalho.

Mas é uma área com demanda real. Bancos, fintechs, varejo, mídia, saúde e empresas SaaS precisam testar seus sistemas. Ataques continuam crescendo, regulações pressionam, clientes cobram segurança, e times internos precisam de gente boa.

Se você for a pessoa que encontra falhas com responsabilidade, comunica bem e ajuda a reduzir risco, você tem espaço.

E antes de mandar currículo para vagas de pentester, faça uma checagem simples: seu CV está passando pelos filtros automáticos e mostrando suas habilidades do jeito certo? Teste agora com o verificador gratuito da JobRise: https://jobrise.io/pt/free-ats-checker/