Pentest / Red Team: mercado

Vacante

un empleo abierto que superó el filtro de calidad y menciona al menos dos tecnologías

Candidato observado

un candidato cuyo stack contiene esta tecnología; es un agregado: ni un solo registro sale del perímetro

Candidato emparejable

aún no contabilizado

Ventana

empleos abiertos en el momento en que se generó el snapshot

Junior: entrada típica: 1) autodidacta + HackTheBox / TryHackMe + certificación OSCP + hallazgos de bug bounty → Junior en una consultora, 2) titulado en Informática / Ciberseguridad + prácticas en una consultora de seguridad, 3) SOC Analyst / AppSec / DevSecOps Middle + giro a la especialización ofensiva. El salto de Junior a Middle: tras los primeros 10-20 encargos reales de pentest + certificación OSCP + el primer hallazgo de gravedad alta en bug bounty. De Middle a Senior: experiencia en varios dominios (web + red + AD + móvil + nube), liderazgo de encargos complejos con varios vectores, defensa del informe ante el cliente, desarrollo de metodología. De Senior a Lead / Principal: liderazgo de equipo + desarrollo de herramientas internas + gestión de la relación con clientes. Trayectoria: autodidacta + bug bounty (1-2 años) o titulado + OSCP (1 año) → Junior Pentester (1-2 años) → Middle (2-3 años) → Senior → luego Lead Pentester (gestión de equipo), Red Team Operator (vía premium de consultoría: dominio de Cobalt Strike + emulación de APT), especialidad a fondo (Mobile / Cloud / Hardware / Web: premium), cazador de bug bounty a tiempo completo (independencia de estilo de vida) o giro a AppSec Senior (el lado preventivo).

Pentester (esta página): enfoque en la explotación activa con alcance definido (web / red / móvil / nube). Encargo típico: 5-15 días, alcance definido (URLs / IPs / apps móviles concretas), objetivo: encontrar vulnerabilidades + demostrar su explotación + informe. A menudo en consultoras. Red Team Operator: enfoque en la simulación de adversarios: emulación de APT (Advanced Persistent Threat), sigilo primero, encargos de varias semanas / meses, objetivo: probar las defensas de extremo a extremo (acceso inicial → movimiento lateral → escalada de privilegios → exfiltración de datos → C2). Específico de stack: dominio de Cobalt Strike / Sliver + perfiles de C2 propios + evasión de EDR + conciencia de OPSEC. Especialidad de nivel premium. Bug Bounty Hunter: independiente o en plantilla. Enfoque en encontrar vulnerabilidades únicas en programas de bug bounty públicos / privados (HackerOne / Bugcrowd / Standoff). Estilo de vida independiente (los mejores: a tiempo completo sin empleador). A menudo con enfoque web / móvil / API. AppSec Engineer: enfoque en la seguridad preventiva del código del producto: triaje de hallazgos de SAST + modelado de amenazas + revisión segura de código. Perspectiva defensiva. Ver Application Security (AppSec). Realidad 2026 (mapa de solapamiento): Pentester ↔ Red Team: 60% de solapamiento (Red Team = especialización del pentesting). Pentester ↔ Bug Bounty: 70% de solapamiento (mentalidad ofensiva similar, modelo de encargo distinto). Pentester ↔ AppSec: 40% de solapamiento (ambos piensan de forma ofensiva, pero AppSec es preventivo frente a la explotación activa del pentesting). Cambios de carrera: Pentester Senior → Red Team Operator: 6-12 meses (hay que añadir dominio de Cobalt Strike + evasión de EDR + TTPs de APT). Pentester Senior → AppSec Senior: 3-6 meses (traducir la intuición ofensiva a revisión defensiva de código). Bug Bounty Hunter → Pentester en plantilla: fácil (currículum = reputación en bug bounty). Elección de carrera: Pentester (en plantilla) si quieres trabajo estructurado + ingresos estables + variedad de encargos + habilidades de trato con el cliente, Red Team (consultora) si quieres nivel élite premium + emulación de APT en profundidad + dominio de Cobalt Strike + te parece bien viajar, Bug Bounty Hunter si quieres cazar en profundidad en solitario + flexibilidad de estilo de vida + te sientes cómodo con ingresos variables + toleras el riesgo, AppSec si te interesan la prevención + la colaboración con la ingeniería de producto.

Reference pentest methodology 2026 (PTES — Penetration Testing Execution Standard + OWASP Testing Guide + NIST SP 800–115 hybrid): 1) Pre-engagement — scope definition (in-scope IPs / domains / mobile apps / cloud accounts + out-of-scope), Rules of Engagement (ROE — what is allowed / forbidden, working hours, customer contacts), legal agreements (SOW + NDA + indemnification), test environment setup (test accounts + VPN access). Mandate: never start without written authorisation. 2) Reconnaissance (passive) — OSINT (open-source intelligence): subdomain enumeration (amass + subfinder + crt.sh certificate transparency logs), Shodan / Censys queries for exposed services, theHarvester for employee emails, social media mining (LinkedIn / Twitter — for phishing pretexts), Wayback Machine / Common Crawl for historical artifacts. 3) Reconnaissance (active) — Nmap scanning (TCP + UDP + version detection + NSE scripts), Masscan for large ranges, web crawling (Burp Spider + manual), API discovery (Swagger / OpenAPI / GraphQL introspection), wireless reconnaissance (Kismet + Aircrack-ng) if physical scope. 4) Vulnerability identification — Nuclei templated scanning, manual testing with Burp Suite Pro, mobile static analysis (MobSF + jadx + Hopper), cloud configuration analysis (ScoutSuite + Prowler), credential password spraying (NetExec / Hydra), default credentials testing. 5) Threat modelling per finding — for each identified vulnerability: severity assessment (CVSS 3.1 base + temporal + environmental), exploitability analysis, business impact estimation. 6) Exploitation — proof-of-concept (PoC) development demonstrating real impact (vs theoretical). Web: SQLi + XSS + IDOR + SSRF + RCE chains. Network: AD attacks (Kerberoasting + ASREPRoasting + AS-REP + DCSync + Golden Ticket / Silver Ticket + AD CS ESC1-11). Mobile: SSL pinning bypass + sensitive data extraction + IPC abuse. Cloud: IAM privilege escalation + cross-account attacks. 7) Post-exploitation (if in scope) — lateral movement (Impacket + BloodHound paths + pass-the-hash + pass-the-ticket), privilege escalation, persistence (if Red Team scope), data discovery (file system + databases + cloud storage). 8) C2 (Red Team specific) — Cobalt Strike / Sliver beacon establishment + AMSI bypass + EDR evasion + DNS / HTTPS / SMB pivoting. 9) Evidence collection — screenshots + commands logs + HAR files + Burp project files + video recording for complex chains. Maintain chain-of-custody (legal compliance). 10) Reporting — comprehensive report with executive summary + methodology + findings (severity-ranked) + PoC reproductions + business impact analysis + remediation recommendations + retest plan. Tools: Pwndoc + Dradis + SysReptor. 11) Customer presentation — debrief meeting with technical + management audiences. Customer-facing skills critical. 12) Retest (typical 30-90 days post-report) — verify remediations effective + update report. Cross-cutting: OPSEC (Operations Security) — Red Team-specific (no traces, no false-positives, no production-impacting actions without authorisation). Communication — regular customer check-ins (daily standup for multi-week engagements). Methodology frameworks: PTES (oldest), OWASP WSTG (Web Security Testing Guide — most detailed for web), MITRE ATT&CK (categorisation of TTPs), NIST SP 800–115 (US government standard). A Senior Pentester must know all frameworks + adapt methodology per engagement scope.

Sí, el 38% de los empleos de Pentester son full-remote o híbridos, pero con salvedades: 1) La mayor parte del trabajo de pentest es cloud (el objetivo de prueba es accesible vía VPN), pero 2) el pentest de red interna a menudo requiere presencia on-site o el envío de hardware físico (Wi-Fi pentest + ataques basados en USB + evaluación de seguridad física — defensa / empresas estatales / bancos). 3) Los engagements de Red Team Operator son más a menudo remotos (el mantenimiento de C2 a largo plazo desde casa está bien), pero los debriefs de cara al cliente son híbridos. 4) Los Bug Bounty Hunters pueden ser totalmente independientes (un estilo de vida full-remote con pagos de bug bounty) — los hunters de primer nivel viajan a menudo (DEF CON / Black Hat / pwn2own / conferencias locales). 5) Los security clearances para empresas de defensa / estatales en Rusia + EE. UU. (si es remoto internacional) — on-site obligatorio. Las consultoras de seguridad rusas — híbrido o remoto tras la verificación de antecedentes de seguridad (exhaustiva — puede durar 2-6 meses). Los bancos rusos — equipos internos de pentest híbrido/oficina. Las consultoras premium internacionales — full-remote estándar. La ciberseguridad Big 4 (KPMG / Deloitte / PwC / EY) — híbrido con visitas a clientes. Los equipos ofensivos de Big Tech — híbrido estándar, contratación extremadamente rara. Hubs de relocación para pentest: EE. UU. (Bay Area + clúster de defensa de DC + Las Vegas DEF CON-friendly) / el Reino Unido (Londres — sede de NCC Group) / Alemania (clúster de IA de Berlín + consultoras de seguridad) / Canadá / Serbia / Georgia. Inglés para el remoto internacional de Pentest — obligatorio (DEF CON / Black Hat / Hack in Paris / OffSec OSCP / docs de vendors Burp Suite / Cobalt Strike — en inglés).

Pentester (general): encargo con alcance definido: el cliente dice «haz pentesting de estas 10 apps web + estos 5 rangos de IP», objetivo: encontrar el mayor número posible de vulnerabilidades de alta gravedad en 5-15 días, informe completo. Stack: Burp Suite + Nmap + Metasploit + Nuclei + Kali Linux. Red Team Operator: simulación de adversarios: el cliente dice «supón un acceso inicial y mira hasta dónde llegas sin que te detecte el equipo del SOC», objetivo: probar las defensas de extremo a extremo, sigilo primero, encargo de varias semanas / meses. Cadenas de ataque de varias etapas: 1) acceso inicial (phishing / cadena de suministro / servicios expuestos / explotación de día 0), 2) establecer un beacon de C2, 3) reconocimiento (BloodHound + ADExplorer + enumeración propia), 4) escalada de privilegios (Windows: manipulación de tokens + evasión de UAC + abuso de servicios + AD CS ESC1-11; Linux: SUID + capabilities + escape de Docker + exploits del kernel), 5) movimiento lateral (Pass-the-Hash + Pass-the-Ticket + WMI + PSRemoting + RDP), 6) persistencia (tareas programadas + suscripciones WMI + DLL sideloading + ADCS ESC8: persistencia con escalada a DA), 7) descubrimiento + exfiltración de datos (almacenamiento en la nube + bases de datos + recursos compartidos: exfiltración vía DNS / HTTPS / webhooks de Slack). Dominio de la evasión de EDR: evasión de AMSI, evasión de ETW, invocación directa de syscalls (Hell's Gate / Halo's Gate / SysWhispers), ofuscación de payloads (Donut + Inceptor + Scarecrow), cifrado de shellcode + descifrado en runtime. Disciplina de OPSEC: sin comandos con huella identificable, sin acciones que afecten a producción, sin rastros en los logs (desactivar ETW + comunicación por named pipes + solo en memoria). Certificaciones: OSEP (Offensive Security Experienced Pentester: la mejor para Red Team) + CRTO (Certified Red Team Operator: Zero-Point Security: en auge 2024+) + CRTL (Lead). Retribución: el Red Team Operator tiene una prima del +20-40% sobre el Pentester general. Trayectoria: Pentester Senior + dominio de Cobalt Strike + TTPs de APT estudiadas + primer encargo de Red Team → Red Team Operator: 6-12 meses.

Roadmap: 1) Foundation — Linux mastery + Windows internals + networking deep (TCP / UDP / DNS / HTTP / TLS / routing) + Python deep + bash + PowerShell. Without this base there's no point going into pentest. 2) Cybersecurity fundamentals — OWASP Top 10 deep, CIA Triad, applied cryptography, common attack patterns. Book: "The Web Application Hacker's Handbook" Stuttard / Pinto (must-read despite age 2011). 3) HackTheBox + TryHackMe hands-on (must — best practical pentest training 2026). Start with easy boxes → medium → hard. Aim 50+ boxes solved before applying for pentest jobs. 4) PortSwigger Web Security Academy (free — best web pentest training 2026, must-do all labs). Get PortSwigger BSCP (Burp Suite Certified Practitioner) — premium web pentest cert. 5) Active Directory pentesting — TryHackMe AD path + HackTheBox Pro Labs Dante / Offshore / RastaLabs. Learn BloodHound + Impacket + NetExec mastery. "Hacking: The Art of Exploitation" Jon Erickson (classic). 6) OSCP (Offensive Security Certified Professional) — must for pentest credibility. Hands-on 24-hour practical exam + 24-hour report. Cost ~$1,500-2,000 for course + exam. Prep: PWK course materials + HackTheBox + TryHackMe. Average prep: 3-6 months focused study. 7) Bug bounty hands-on — register HackerOne / Bugcrowd / Intigriti / Standoff Russian. Start with public programs — focus on low-hanging fruits (CSRF + reflected XSS + IDOR + SSRF). Even small findings build reputation + resume. 8) Mobile pentesting (specialty): MobSF + Frida + apktool + jadx. OWASP Mobile Top 10. "OWASP MASTG" (Mobile Application Security Testing Guide — free). 9) Cloud pentesting (rising 2024+): Pacu + ROADtools + ScoutSuite. "Hands-On AWS Penetration Testing with Kali Linux" book. 10) Reverse engineering basics: Ghidra mastery (free) + practice Crackmes (crackmes.one) + reverse simple Windows malware. 11) Red Team progression: CRTO (Certified Red Team Operator — Zero-Point Security — rising 2024+, more affordable than OSEP), OSEP (Offensive Security Experienced Pentester — official advanced). Cobalt Strike learning (if employer-provided). 12) Advanced certs (premium path): OSWE (Web Expert), OSED (Exploit Developer — binary exploitation deep), OSCE3 (umbrella OSEP + OSWE + OSED — premium tier). GIAC: GPEN, GWAPT, GXPN — alternative track. 13) CVE / 0-day research (premium path) — find vulnerabilities in open-source software, responsibly disclose, publish advisories. A single published CVE — massive resume boost. 14) Pet project portfolio: a) HackTheBox profile with 50+ machines + Pro Labs completion; b) bug bounty reputation on HackerOne / Bugcrowd / Standoff (target ≥100 reputation); c) Custom Burp Extension published on BAppStore; d) Blog write-ups for published HackTheBox / TryHackMe / bug bounty findings. International (EN) — Offensive Security: PWK / OSCP (must — industry standard), OSEP + OSWE + OSED (advanced), SANS courses (SEC560 / SEC542 / SEC660 — premium expensive), Zero-Point Security CRTO (Red Team — rising 2024+), Pentester Academy, INE (eLearnSecurity successor — eJPT / eCPPT / eWPT / eWAPT track — more affordable than OffSec). Must-read books: "The Web Application Hacker's Handbook" Stuttard / Pinto, "Hacking: The Art of Exploitation" Jon Erickson, "Penetration Testing" Georgia Weidman (intro), "The Hacker Playbook" Peter Kim (series 1-3), "Red Team Field Manual (RTFM)" + "Blue Team Field Manual (BTFM)" (pocket references). Conferences: DEF CON (Las Vegas — largest hacker conference), Black Hat (Las Vegas + EU + Asia), OffensiveCon (Berlin), PHDays (Positive Hack Days — Moscow — largest in Russia), ZeroNights (Russia), Standoff (PT live cyber-battle), RuCTF / RuCTFE (Russian CTF), pwn2own (Trend Micro — vulnerability competition with large cash prizes). Self-taught + 1-2 years bug bounty + OSCP → Pentester Junior.

213 active open Pentester positions with explicit pentest scope in our sample. The real market is wider due to: 1) Most Russian security consultancies often hire via internal referrals + public job postings are scattered, 2) Bug bounty hunters — independent, not counted in the job market, 3) Red Team Operator positions at Western consultancies — premium-tier rare hiring, 4) Big Tech offensive teams — extremely rare hiring (1-2 positions globally per year). True active pentest jobs in CIS + Europe — estimate 100–500 positions at any given moment in 2026. Geography: the US, Poland, the UK. The real market is broader thanks to the international remote segment. Time to close a Senior Pentester — 8-16 weeks (longer than general Security due to rare-skill + extensive background checks + multi-round technical interviews with hands-on exploitation challenges).

A Senior Pentester owns the full offensive security cycle + technical leadership + customer-facing skills. Programming: Python deep (custom exploits + automation + Burp extensions + recon tools), bash + PowerShell mastery (Windows AD pentest), C / C++ for binary exploitation, JavaScript for web exploitation (XSS payloads + prototype pollution + DOM-based vulnerabilities), assembly basics for reverse engineering (x86 + x86_64 + ARM). Web App pentest mastery: Burp Suite Professional advanced (Burp Extensions authoring + Burp Collaborator integration + Burp Intruder + Burp Macros for authenticated multi-step flows), OWASP Top 10 + OWASP API Top 10 deep, modern web vulnerabilities (prototype pollution + JWT pitfalls + SSRF + GraphQL injection + WebSocket attacks + cache deception + HTTP request smuggling — advanced). Network pentest mastery: Nmap NSE scripting in Lua, Active Directory deep (Kerberoasting + ASREPRoasting + DCSync + Golden / Silver / Diamond / Sapphire Ticket + AD CS ESC1-11 + Constrained / Unconstrained Delegation abuse), Impacket mastery (smbexec + wmiexec + psexec + secretsdump + ntlmrelayx + GetUserSPNs + GetNPUsers), NetExec advanced (former CrackMapExec), BloodHound mastery (Cypher query authoring for custom attack paths), Responder advanced. Cloud pentest mastery: Pacu deep (AWS exploitation), ROADtools (Azure AD recon), AWS / Azure / GCP attack TTPs (IAM privilege escalation paths + cross-account attacks + lambda exploitation + container escape + cloud storage abuse). Mobile pentest mastery: MobSF + Frida advanced (custom JavaScript scripts for runtime modification + SSL pinning bypass for diverse anti-pinning implementations), apktool / jadx (Android RE deep), Hopper / Ghidra / IDA Pro (iOS RE). Reverse engineering: Ghidra advanced (custom scripts + Function ID database creation), IDA Pro + Hex-Rays Decompiler, x64dbg / WinDbg for dynamic analysis, malware analysis basics. Exploitation: Metasploit advanced (custom module authoring in Ruby), Cobalt Strike mastery (if Red Team track — malleable C2 profiles authoring + Aggressor scripts in Sleep language + custom payload generation), Sliver / Mythic / Havoc alternative C2. EDR evasion mastery (Red Team-specific): AMSI bypass + ETW bypass + direct syscalls (SysWhispers + Hell's Gate + Halo's Gate), payload obfuscation (Donut + Inceptor + Scarecrow + Freeze), shellcode encryption + runtime decryption, sleep obfuscation, parent PID spoofing. OPSEC discipline: command sanitisation (no whoami / ipconfig — fingerprinted), named pipe communication, in-memory only operations, log-clean methodology. Methodology mastery: PTES + OWASP WSTG + OWASP MASTG + NIST SP 800–115 + MITRE ATT&CK Navigator usage for engagement scoping. Reporting mastery: clear technical writing for executives + reproducible PoC documentation + remediation recommendations + retest verification. Customer-facing presentation skills. Tooling development: build internal pentest tools (Python / Go), Burp extension authoring + publication on BAppStore. Soft: customer relationship management (multi-stakeholder communication), scope negotiation, ethical decision-making (when to stop / pivot / escalate), legal awareness (computer fraud / abuse laws + chain-of-custody), mentoring Junior pentesters. English for Senior+ MUST — pentest community / OffSec / DEF CON / Black Hat / vendor docs (Burp Suite / Cobalt Strike) are entirely English-speaking. Optional bonus: published CVEs / 0-days (massive resume boost — publication on exploit-db.com / NVD / vendor advisories), top-tier bug bounty reputation (HackerOne top-100 / top-50), conference talks (DEF CON / Black Hat / OffensiveCon / PHDays / pwn2own wins), open-source contributions to pentest tools (Metasploit modules / Burp Extensions / Nuclei templates / Nmap NSE scripts) — sharply increase market value for frontier pentest companies hiring.