お使いの環境が例えばDNSキャッシュ・ポイズニング攻撃 [nikkeibp.co.jp]されたらお終いですね。
他にもhostsファイルが改ざんされたとか、ブラウザのバグをやられたとか。

アドレスバーはあくまで目安で本当は何処にどのように繋がってるかなんて解らないんです。
その途中の経路も含めて保障してくれるのが正しく運用されたSSLなんですけど。

別ストーリにメールアドレス流出の話がありますが、そこが使っているフィッシングサイト？が、www.au-kddi.comです。
このような本家だかそうだかわからないアドレスは簡単に取れてしまいます。
次に最近でもいろいろな商業サイトがトップページ以外のリンク先が別ドメイン名になっていることは珍しくありません。表示されたアドレスを見ているとむしろアドレスでは判断できないと感じます。
そして例えアドレスが本物が表示されていたとしても、ルーティング情報を攻撃されていれば本物のアドレスから偽のサイトに誘導されます。最近のウィルスにそういう攻撃をするものがあったはずです。
URLアドレスだけで危険性を判断するのでは、オレオレ証明書を信用したとたんにフィッシング詐欺に騙されるわけです。

＃各セキュリティ認証機関は速やかにNTT西日本の認証を取り下げるべきだと思います

アドレスバー偽装 [itmedia.co.jp]なんてもうお忘れですか。

普通の人はアドレスバーなんて見ちゃいませんよ…。
部門サーバー群の一部が落ちた事をアナウンスする時とかどれが見れてどれが見えないのかってのを何度も何度も聞かれますし。
# そのサーバーでは Web サーバー上げて無くても聞かれたり。

いや、まず盗聴が問題というのは確かですが。

DHCPをクラックされた場合とか、、、
DNSまで偽物捕まされますし、、、

結構な額ってのはベリサインとかの高級(?)証明書に言えることで安いとこなら年間数千円で取れてしまいます。
だから証明書の購入コストってのは全然大したこと無いと思います。
ただ、証明書の値段そのものよりも、期限切れの証明書を保守し続けるコストの方が気になります。

一つのプロジェクトで最初にかかるコストが数千や数万円かかるくらいはたいしたことがないと思います。
でも証明書の更新ってのは1年後か長くても数年後には確実に来るものです。
そしてその頃当時のメンバー（特に証明書のことをきちんと分かっている人）が居るかどうかは分かりませんし、更新時期にはプロジェクトに全く関係の無い人間しか居ないこともざらかと思います。
プロジェクト開始時には何の問題も無かったのに、分かる人が居ないかも知れない未来に託して、期限切れが放置されて客からクレーム(第3者から騒がれたとか、突然ダイアログが出るようになったとか)を受けて、自分たちのプロジェクトに泥が付くというのはやりきれないでしょう。
きちんとした運用マニュアルを作ってその通り運用すれば良いと言う意見も当然ですが、そうすることが出来ないケースも多いでしょうし。

そこで「暗号化はされますがサイトの身分証明は出来ないので第3者に誘導された場合の改竄や盗聴の防止にはなりません。それにダイアログも当然出るのでユーザにOKボタンを押して貰うことになります。」
ということを顧客に説明して一度妥協してオレオレ証明書でスタートしてさえしまえば、
後に証明書の期限切れになったとしても、ダイアログが出たらOKを押して進めるというのに慣れたユーザはそのダイアログに期限切れの注意マークが増えていることに気づくことも無くクレームはおきにくい。
という保守コストも削れる駄目駄目な楽チン解の方が良いということも多いでしょう。

技術者ってのは当面のコストよりも将来の保守を嫌う傾向があるようですし…。

なので証明書のコストを議論する際は、証明書1枚の値段よりも証明書の更新の簡単さ(出来れば人が何もしなくても自動更新できると嬉しい)が必要だと思ってます。

通信路上で、公開鍵を改竄されたら、盗聴されますよ。