O mercado de Pentest exige experiência, mas como consegui-la sem oportunidade? A resposta está em criar suas próprias oportunidades. Este artigo conta como transformei uma matéria de faculdade em um pentest real em uma Fintech, liderando um projeto de extensão que evitou uma potencial catástrofe financeira e garantiu conformidade PCI-DSS. Iniciativa + conhecimento = experiência.
Este artigo é baseado na minha jornada real. Vou compartilhar como criei experiência do zero através de iniciativa própria, projetos voluntários e a vontade genuína de aprender. Se você está começando na área de segurança ofensiva e se sente travado, este artigo é para você.
A Verdade Incômoda: Ninguém Vai Te Salvar
Antes de começar a falar sobre projetos voluntários e oportunidades, preciso ser brutalmente honesto com você sobre algo que muita gente não quer ouvir: ninguém virá te salvar.
Ninguém virá te ajudar. Ninguém virá te dar a mão. Ninguém virá resolver seus problemas por você. No final do dia, é você por você. Essa é a realidade crua do mercado de trabalho — especialmente em uma área competitiva como segurança ofensiva.
Pode parecer pessimista, mas na verdade é empoderador. Quando você entende que a responsabilidade é 100% sua, você para de esperar que alguém te dê uma chance e começa a criar suas próprias chances.
Mentalidade de Vítima
- "Ninguém me dá chance"
- "O mercado é injusto"
- "Preciso que alguém me ajude"
- "Estou esperando a oportunidade certa"
Mentalidade de Dono
- "Eu vou criar minha chance"
- "Vou me adaptar ao mercado"
- "Eu sou responsável pelo meu futuro"
- "Vou construir a oportunidade"
"O dia que você assume 100% de responsabilidade pela sua vida é o dia que você ganha 100% de poder para mudá-la. Pare de culpar o mercado, as empresas, ou a falta de oportunidades. Assuma o controle. Seja o protagonista da sua própria história."
— A mentalidade que muda tudoEste artigo inteiro é sobre isso: como EU assumi responsabilidade pela minha carreira e criei minha própria experiência quando ninguém estava disposto a me dar uma. E você pode fazer o mesmo.
O Paradoxo do Mercado de Pentest
Você já deve ter visto isso: toda vaga de Pentester Jr exige "2-3 anos de experiência". E você se pergunta: como ter experiência se ninguém me dá a primeira chance?
Este é o paradoxo clássico do mercado de segurança ofensiva:
O Que as Empresas Querem
- Experiência comprovada em pentests reais
- Conhecimento de metodologias (PTES, OWASP)
- Relatórios executivos e técnicos
- Contato com clientes e C-Level
- Conhecimento de compliance (PCI-DSS, LGPD)
- Portfólio de vulnerabilidades encontradas
O Que o Júnior Tem
- Certificações e cursos
- CTFs e labs (HackTheBox, TryHackMe)
- Conhecimento teórico
- Vontade de aprender
- Zero experiência "real"
- Nenhum relatório de pentest profissional
O gap é real. Labs e CTFs são excelentes para aprender, mas não substituem a experiência de lidar com um sistema real, em produção, com stakeholders esperando resultados.
As Dificuldades Específicas do Pentest
A área de Pentest tem características que tornam esse paradoxo ainda mais cruel:
A Solução: Crie Suas Próprias Oportunidades
Se ninguém te dá experiência, você precisa criá-la. A chave está em projetos voluntários e iniciativa própria.
O Poder dos Projetos Voluntários
Projetos voluntários são a ponte entre o conhecimento teórico e a experiência prática. Eles oferecem:
Experiência Real
Sistemas em produção, com dados reais, stakeholders reais e consequências reais. Não é um lab controlado — é o mundo de verdade.
Portfólio Concreto
Você pode mencionar em entrevistas: "Conduzi um pentest real em uma Fintech e encontrei vulnerabilidades críticas que poderiam comprometer a operação inteira."
Soft Skills
Negociação, comunicação com C-Level, elaboração de contratos, apresentações executivas — habilidades que labs não ensinam.
Networking Valioso
Você conhece pessoas do mercado, constrói relacionamentos e abre portas para oportunidades futuras.
Minha História: Do Projeto de Extensão ao Pentest Real
No final do semestre, durante a matéria de Auditoria de Sistemas, onde discutíamos bastante sobre Pentest e Red Team, vi uma oportunidade.
Ao invés de esperar que uma empresa me desse uma chance, decidi criar minha própria oportunidade. Entrei em contato com grandes empresas do meio de pagamentos do Brasil, oferecendo realizar um pentest como projeto de extensão universitária.
"Depois de vários 'nãos', recebi um 'sim'. E esse 'sim' mudou tudo. Uma Fintech de médio porte aceitou ser o alvo do meu projeto de extensão. O que era uma atividade acadêmica se transformou em uma experiência profissional real com impacto tangível."
— Ermenson MarcosO Que Esse Projeto Me Proporcionou
Liderança de Projeto de Extensão
Condução de iniciativa prática universitária aplicada a um cenário real de mercado, atuando com autonomia integral desde a prospecção junto à diretoria até a execução técnica, sem supervisão direta.
Gestão Contratual e Jurídica
Elaboração e formalização de Contrato de Prestação de Serviços de Pentest e Acordo de Confidencialidade (NDA), definindo escopo, janelas de teste e responsabilidades legais para garantir a segurança jurídica da operação ofensiva.
Impacto Crítico no Negócio
Análise e avaliação de vulnerabilidades em contextos críticos que evitaram o comprometimento total do fluxo de caixa e que mitigaram um risco real de falência e descontinuidade da operação.
Blindagem Regulatória (PCI-DSS)
A remediação das falhas garantiu a conformidade com normas de segurança financeira, evitando multas severas, perda da licença de operação e o blacklisting (bloqueio) junto a adquirentes e bandeiras de cartão.
Negociação e Alinhamento C-Level
Prospecção ativa e definição estratégica junto à Diretoria (CTO), demonstrando a necessidade de testes ofensivos para a continuidade do negócio.
Execução Técnica (PTES/OWASP)
Conduzi o ciclo de vida completo do Pentest, seguindo metodologias reconhecidas internacionalmente:
Reconhecimento (OSINT)
Mapeamento completo da superfície de ataque e detecção de credenciais vazadas em Stealer Logs. Identificação de ativos expostos, subdomínios e informações corporativas públicas.
Análise de Vulnerabilidades
Identificação de falhas de isolamento em ambientes legados expostos publicamente. Mapeamento de pontos críticos que representavam risco imediato para a operação.
Exploração (Grey Box)
Engenharia reversa de Frontend via Source Maps para bypass de validações. Exploração de Stored XSS no ambiente de pagamento — uma vulnerabilidade crítica em um sistema financeiro.
Pós-Exploração
Demonstração de Account Takeover administrativo via cadeias de ataque (Kill Chain). Prova de conceito completa mostrando o impacto real das vulnerabilidades encontradas.
Impacto Real: As vulnerabilidades encontradas poderiam ter permitido a um atacante real comprometer o sistema de pagamentos, acessar dados de clientes e potencialmente causar prejuízos financeiros massivos. Uma falha de Stored XSS em um ambiente de pagamento não é teoria — é risco de fraude em escala.
Apresentação Executiva de Alto Impacto
Encontrar vulnerabilidades é apenas metade do trabalho. A outra metade é comunicar o risco de forma que a liderança entenda e aja.
Conduzi uma reunião final com os C-Levels da empresa para exposição de achados críticos, traduzindo vulnerabilidades técnicas em linguagem de negócios:
Perda Reputacional
Vazamento de dados de clientes e exposição pública de falhas de segurança que afetariam diretamente a confiança do mercado na empresa.
Prejuízo Financeiro
Possibilidade real de fraude em transações, comprometimento do fluxo de caixa e perdas financeiras diretas massivas.
Violação PCI-DSS
Multas severas, perda da licença para processar pagamentos e blacklisting pelas bandeiras de cartão.
Descontinuidade Operacional
Risco real de falência e encerramento das atividades caso as vulnerabilidades fossem exploradas por atacantes reais.
Esta é uma skill que labs não ensinam. Saber falar "Stored XSS" para um técnico é fácil. Saber traduzir isso para "risco de R$ X milhões em fraude e perda de certificação PCI" para um CEO é o que diferencia um pentester júnior de um sênior.
— A arte de comunicar riscosCiclo de Correção e Reteste
O trabalho não terminou com o relatório. Realizei acompanhamento consultivo durante todo o período de correção:
Iniciativa e o Desejo de Compartilhar
Mais do que conseguir experiência para mim, uma motivação fundamental foi aprender para poder compartilhar.
A área de segurança ofensiva é, por natureza, "fechada". Muitos guardam conhecimento como se fosse segredo de Estado. Eu escolhi um caminho diferente: documentar tudo, escrever artigos, criar conteúdo.
"Conhecimento compartilhado multiplica. Conhecimento guardado apodrece. Cada artigo que escrevo, cada técnica que documento, é minha forma de retribuir à comunidade que me ensinou."
— Filosofia pessoalPor Que Compartilhar é Importante
Consolidação de Conhecimento
Escrever sobre algo força você a entender profundamente. Se você não consegue explicar, não entendeu de verdade.
Contribuição para a Comunidade
Alguém lá fora está enfrentando o mesmo problema que você já resolveu. Seu artigo pode ser exatamente o que essa pessoa precisa.
Portfólio Público
Este blog, estes artigos — são prova do que sei fazer. Melhor que qualquer certificado é mostrar na prática.
Networking Orgânico
Pessoas que leem seu conteúdo e se identificam entram em contato. Oportunidades surgem de onde você menos espera.
Dicas Extras: Marketing Pessoal
Existe uma verdade incômoda que ninguém te conta: não basta ser bom — as pessoas precisam saber que você é bom. Você pode ser o pentester mais talentoso do mundo, mas se ninguém souber disso, as oportunidades simplesmente não vão aparecer. O mercado não vai te descobrir — você precisa se mostrar.
Ninguém sabe que você é bom em algo se você não falar sobre. Isso não é arrogância — é estratégia de sobrevivência profissional. Humildade excessiva te mantém invisível em um mercado onde centenas de candidatos disputam as mesmas vagas. Compartilhe suas conquistas, documente seus aprendizados, mostre seu trabalho. Recrutadores não adivinham seu potencial — você precisa provar.
Produzir Conteúdo É Experiência
É exatamente por isso que sigo aqui, publicando artigos e papers para vocês lerem e terem como base algo que veio de experiência real. Mas quero ressaltar algo que muitos não percebem:
Produzir material de valor também é uma forma legítima de experiência. A partir do momento que você compartilha conhecimento de qualidade, você se torna uma referência na área. E ser referência gera reconhecimento, credibilidade e um networking incrível que dinheiro nenhum compra. Pessoas começam a te procurar, empresas notam seu nome, portas se abrem organicamente.
Cada artigo técnico que você escreve, cada análise que publica, cada conhecimento que documenta — tudo isso constrói sua reputação antes mesmo de você ter um emprego formal:
Se a Oportunidade Não Aparece, Vá Atrás Dela
Eu sei que é difícil. Sei que a ideia de trabalhar de graça parece injusta — e em muitos aspectos, é. O mercado deveria dar mais chances para quem está começando. Mas a realidade é dura: às vezes, trabalhar de graça é a única e melhor opção para conseguir aquela experiência real que vai te diferenciar no futuro.
Mentalidade de Espera
- Mandar currículos e aguardar resposta
- Reclamar que ninguém dá chance para iniciantes
- Ficar preso no ciclo infinito "sem experiência"
- Anos passam, frustração aumenta, nada muda
- Depender de estágios cada vez mais raros
Resultado: Estagnação, síndrome do impostor e desistência.
Mentalidade de Ação
- Prospectar empresas ativamente oferecendo valor
- Aceitar projetos voluntários como investimento
- Construir portfólio com casos reais documentados
- Publicar conteúdo e se tornar referência
- Transformar faculdade em laboratório real
Resultado: Experiência concreta, diferenciação e entrevistas.
Estágios na área de segurança são extremamente raros e brutalmente competitivos. Centenas de candidatos — muitos com certificações, cursos e labs — disputam poucas vagas. Enquanto você espera por um estágio que talvez nunca venha, você pode estar construindo sua própria experiência através de projetos voluntários, contribuições open source, bug bounties, ou pentests acadêmicos como o que eu fiz. A escolha é sua: esperar ou agir.
"O mercado não deve nada a você. Ninguém é obrigado a te dar uma chance. Parece cruel, mas é a realidade. A boa notícia? Você pode criar suas próprias chances. A diferença entre quem entra no mercado e quem fica de fora muitas vezes é simplesmente isso: quem teve coragem de ir atrás sem esperar convite."
— Lição aprendida na práticaO Resultado Real: Entrevistas Técnicas
E qual foi o resultado concreto de tudo isso? Por mais que eu ainda não tenha oficialmente "entrado no mercado" com uma posição CLT fixa, essa experiência já me colocou em várias entrevistas técnicas. E isso, por si só, já é uma vitória enorme.
É algo absolutamente sensacional poder sentar em uma entrevista técnica, olhar nos olhos do entrevistador e dizer com total confiança: "Sim, eu tenho experiência. Eu conduzi um pentest real em uma Fintech do setor de pagamentos. Encontrei vulnerabilidades críticas que poderiam causar falência. Apresentei para C-Level. Elaborei contratos e NDAs. Acompanhei todo o ciclo de correção. E eu consigo ajudar a empresa de vocês a identificar riscos reais antes que um atacante faça isso."
Isso muda completamente a dinâmica da conversa. Você deixa de ser "mais um candidato com certificações e CTFs" e se torna alguém que já provou na prática que consegue entregar valor real. O entrevistador para de te avaliar apenas pelo currículo e começa a te ouvir como um profissional que tem histórias concretas para contar.
Candidato Comum
"Eu estudei OWASP Top 10, tenho certificação X, fiz alguns CTFs no HackTheBox..."
- Resposta genérica e previsível
- Igual a outros 50+ candidatos na fila
- Difícil se destacar e ser lembrado
- Entrevistador já ouviu isso 100 vezes
Candidato com Experiência Real
"Conduzi um pentest em uma Fintech onde encontrei Stored XSS no ambiente de pagamento que poderia comprometer todas as transações..."
- História real, única e memorável
- Detalhes técnicos específicos e concretos
- Diferenciação imediata e impactante
- Entrevistador quer saber mais
Entrevistadores querem histórias, não listas. Eles querem ouvir sobre problemas reais que você resolveu, desafios inesperados que enfrentou, decisões difíceis que tomou sob pressão. CTFs são excelentes para treinar, mas histórias de pentests reais — mesmo que voluntários — são o que fazem você ser lembrado quando o entrevistador for decidir quem contratar.
Conclusão: A Experiência Está Esperando Você Buscá-la
Se você está travado no paradoxo "precisa de experiência para ter experiência", saiba que a solução está nas suas mãos. Não no mercado. Não nas empresas. Não na sorte. Nas suas mãos.
Eu não esperei uma empresa me dar uma chance. Eu criei minha própria chance. Entrei em contato com empresas, levei vários "nãos", persistí até conseguir um "sim", e transformei uma atividade acadêmica em experiência profissional real que hoje me coloca em entrevistas técnicas com confiança.
O que você pode fazer hoje:
Identifique oportunidades: Faculdade tem empresas parceiras? ONGs precisam de segurança? Pequenas empresas da sua cidade podem aceitar um pentest gratuito?
Prepare-se para os "nãos": Você vai ouvir muitos. Faz parte do processo. Cada "não" te aproxima do "sim".
Documente tudo: Contratos, metodologias, achados, correções. Seu portfólio é sua moeda de troca.
Compartilhe publicamente: Escreva sobre suas experiências. Torne-se referência. Ajude outros que estão no mesmo ponto que você estava.
Cuide do seu marketing pessoal: Ninguém sabe que você é bom se você não mostrar. Não tenha vergonha de divulgar suas conquistas e aprendizados.
Seja profissional desde o dia zero: Mesmo voluntário, trate como se fosse pago. Contratos, prazos, qualidade. Sua reputação começa agora, não quando te contratarem.
A Mensagem Final
Experiência não é algo que você espera receber passivamente. É algo que você vai buscar, cria ativamente e constrói com suas próprias mãos.
O mercado não vai mudar para te dar uma chance. Mas você pode mudar completamente a forma como entra no mercado. Você pode sentar em uma entrevista e dizer com confiança: "Sim, eu tenho experiência real e consigo ajudar vocês."
Iniciativa + Conhecimento + Persistência + Visibilidade = Experiência + Oportunidades.