Quem não é visto não é lembrado... só tome cuidado com a forma que você será lembrado.

Muita gente que quer entrar na área de segurança da informação e não tem ideia de como fazer isso, acaba fazendo o que a maioria dos "perdidos" na área fazem: tentar criar imagem pública acreditando que isso irá atrair a atenção de recrutadores.

O problema é que cybersec não funciona como as outras áreas de TI. Cybersec é uma área muito pequena e todo mundo se conhece. Nas outras áreas, chamar atenção de recrutadores funciona para conseguir um emprego, mas em cybersec o que pesa mais é a sua reputação nas comunidades.

Você pode até achar isso ruim (e não tiro sua razão), mas o fato é que cybersec é uma panelinha e, se você não tem boa reputação na panelinha, você não tem chances de entrar na área. Ou pode até entrar, mas só vai conseguir "trabalho de corno" na área, ganhando menos que desenvolvedor júnior e nunca vai realmente fazer parte da área de cybersec (mas isso é assunto para outro post).

Então sua reputação nas comunidades de cybersec é basicamente tudo o que importa. E a sua reputação não será julgada por leigos em cybersec, pelo contrário, a opinião dos mais capacitados nas comunidades é justamente o que mais vai pesar na sua reputação.

E sim, a gente faz "fofoca". Não tiro a razão de quem acha isso errado, mas o fato é que toda vez que a gente vê alguém tentando fingir ser da área ou falando abobrinha sobre cybersec, a gente compartilha uns com os outros e debocha - sujando a reputação do sujeito.

Logo, qualquer truque "espertinho" que você tente usar que enganaria desenvolvedores leigos em cybersec ou o pessoal do RH, não vai dar certo. Você nunca vai conseguir entrar na área tentando fazer esse tipo de coisa. Abaixo, irei listar os erros mais comuns que eu vejo a galera cometendo que acaba com a sua reputação.

Fingir até ser

O erro mais comum e, provavelmente, o mais grave: fingir já ser da área de cybersec.

Como eu falei no começo, todo mundo da área se conhece. Então se você sair postando no LinkedIn, blog, TabNews etc. fingindo ser da área de cybersec, você pode até enganar leigos, mas a gente sabe que você está mentindo.

E sim, a gente fica de olho. Temos muita aversão com quem finge ser da área. É muito melhor você ser humilde e admitir que quer entrar na área do que fingir que já está na área.

Humildade é uma virtude muito valorizada nas comunidades de cybersec. A gente sempre ajuda quem é humilde. A gente só é agressivo com gente arrogante fingindo ser o que não é.

Fazer projetos superficiais

Esse erro está extremamente frequente nas comunidades desde que LLM virou moda: que é fazer projetos de ferramentas e frameworks de segurança que são, basicamente, inúteis.

Todo dia alguém posta um projeto assim na esperança de que vai ser visto... e será, mas não com bons olhos. Sim, a gente avalia os projetos. A gente lê o código. A gente não confia cegamente em um README.

Não tente bancar o "revolucionário" criando um projeto superficial relacionado a segurança. Você não vai revolucionar nada, você é um iniciante. Lembre-se da frase: "acabou de chegar e já quer sentar na janelinha."

Não seja essa pessoa. Seja humilde.

Bancar o "hackerman"

Existe uma ilusão muito forte na cabeça dos iniciantes que cybersec é sobre "hackear", é sobre "achar vulnerabilidades" ou algo do tipo. Daí cometem o erro de tentarem ser vistos reportando vulnerabilidades falsas, como falei em outro post. Não adianta enganar os leigos, a gente sabe que a vulnerabilidade é falsa e a gente vai falar mal de você por ter feito isto.

E diferente do que os leigos pensam, a gente valoriza muito mais quando alguém demonstra domínio de fundamentos de computação do que quando a pessoa banca o hackerman que achou X vulnerabilidades em sei lá o quê. Isso só impressiona leigos.

Vão te dar muito mais moral se você mostrar, por exemplo, que manja muito de arquitetura de processadores do que se você ficar botando IA para achar "vulnerabilidades" em projetos aleatórios.

Foi exatamente assim que eu entrei na panelinha de cybersec, pelo meu conhecimento avançado em low level ter impressionado a galera da área.

Então lembre-se: cybersec é muito mais sobre fundamentos de computação e entender como as coisas funcionam, do que sobre achar "vulnerabilidades". Achar vulnerabilidade é consequência, não o ponto principal.

Bancar o especialista

Outro erro comum é como a pessoa se intitula publicamente: "pesquisador de segurança", "pentester", "hacker" etc.

Não existe red flag maior do que quando a pessoa fica se chamando de "hacker". Isso por si só já vai prejudicar a sua reputação. Anota essa regra para nunca esquecer: "Hacker" é como os outros te chamam, não como você chama a si mesmo.

Só iniciantes ficam se chamando de "hacker" e, quando você faz isso, você sem querer acaba entregando que não é tão bom quanto está tentando fingir ser.

Leigos podem até acreditar que você é um especialista ou "hacker" mesmo... Mas é como eu falei desde o começo: não adianta enganar os leigos, o que importa é a sua reputação nas comunidades de cybersec.

Você quer entrar na área ou quer receber elogios vagos de leigos? Você só pode ter um dos dois, escolha bem.

Seja humilde. Você não é hacker. Você não é pesquisador de segurança. Você não é especialista. Você é um iniciante. Iniciantes não têm outro título além de "iniciante".

Bancar o lobo solitário

Outro erro é ficar fora de todas as comunidades de cybersec. As melhores comunidades são as privadas que só entram convidados, mas pelo menos você deveria fazer parte das comunidades públicas.

De comunidades brasileiras, temos o servidor no Discord da Mente Binária e a H2HC tem uma comunidade no Telegram.

De comunidade internacional, tem o social club que conta com um servidor público (public club).

Você não vai se deparar com os conteúdos mais fodas nessas comunidades públicas, mas vai ter acesso a conteúdo básico e para iniciantes, e poderá fazer networking com quem é da área de verdade.

Se você se destacar nessas comunidades, eventualmente será convidado para comunidades privadas. E se você não conhece, veja sobre a H2HC. É um dos poucos eventos sérios de hacking que temos no Brasil. E se possível, participe de eventos como esse.

Considerações finais

Humildade é a palavra mais importante deste post. Somos muito agressivos com pessoas arrogantes que fingem ser o que não são, mas também somos muito acolhedores com pessoas humildes que estão interessadas em aprender.

O primeiro passo para conseguir entrar na área é ser humilde, o segundo é se envolver nas comunidades públicas e fazer perguntas, pedir ajuda etc.

Seja humilde. Se você não for humilde, será eternamente o cara que finge ser o que não é.

Humildade é a palavra que melhor me descreve. Tenho a consciência limpa de saber que sou uma pessoa humilde. Eu me considerava como uma pessoa arrogante até passar por várias psicólogas/terapeutas e todas dizerem a mesma coisa: "você não é arrogante."

Depois de anos, eu finalmente entendi qual era o problema: Pessoas arrogantes se incomodam com a autoestima dos outros e, quando veem alguém com uma boa autoestima, eles se esforçam até fazer a pessoa se sentir mal consigo mesma.

Porque, no fim das contas, o arrogante tem baixa autoestima e quer que todo mundo ao seu redor também tenha. Por isso que quando eu falo que eu sou bom nisso ou naquilo, ou demonstro certeza no que digo, isso incomoda algumas pessoas.

tenho 3 pessoas próximas que trabalham com cyber que não fazem ideia do que você está falando.

Normal, nem todo mundo interage nas comunidades. Mas o que eu estou falando não é um "mundo secreto". Aliás, você pode ver o que eu disse no meu post em lugares públicos.

Por exemplo, leia as edições da phrack que você vê basicamente o que eu falei no post sobre reputação. Entre no Telegram da H2HC que você vai ver a mesma coisa. No Discord da Mente Binária também dá para ver, mas é mais raro de acontecer hoje em dia porque o server tá meio parado, mas na época que era bem movimentado acontecia quase todo mês.

E você também pode ver isso neste vídeo: https://www.youtube.com/live/X9Y5O6b7wJI?si=dr7XRfKvkDfQObef

Também pode ver neste post: https://anchisesbr.blogspot.com/2023/06/seguranca-treta-da-comunidade-de.html

Enfim, quando você participa das comunidades você vê essas coisas acontecendo.

Inclusive, eu tenho um servidor privado no Discord (que tenho orgulho de falar que tá cheio de gente foda na área) e de vez em quando a gente fala de uma pessoa que postou uma vulnerabilidade falsa, de outro que postou projeto falso gerado por LLM e por aí vai. Não é rotina, mas de vez em quando a gente comenta essas coisas.