Что может сделать злоумышленник, если ему в руки попал серверный SSL-сертификат?

"cer" - это сертификат. Его можно и нужно раздавать всем подряд. Ничего секретного там нет.
Нельзя отдавать посторонним "pvk" и/или "pfx" — там содержится закрытый ключ.

Если в руки попал настоящий полноценный .p12 с известным паролем или даже незапароленные *.crt и *.key - можно выдавать себя за владельца сертификата и ни одна собака не докажет, что это не он.
Но Вам в руки попало то, что раздается всем подряд совершенно бесплатно типа рекламной листовки - общий ключ (публичный сертификат) в формате DER. Key Usage практически значения не имеет, интересен мог быть Extended Key Usage - вот там обычно перечисляется его настоящая применимость.

Так что Вы можете на него полюбоваться. И все :)