L'email che dice di conoscere la nostra password è un po' un classico, un evergreen che ritengo sia capitato a chiunque, almeno una volta nella vita, abbia un indirizzo di posta personale o aziendale in uso.
Come fanno ad avere la vostra password e ad averla indovinata è relativamente facile da spiegare: periodicamente, infatti, i sistemi informatici non aggiornati o adeguatamente mantenuti sono soggetti a furti di credenziali, è questo il problema di fondo. àˆ capitato in passato a vari siti web (Facebook, Robinhood, Tumblr) e continuerà  a capitare per varie ragioni.
Questi dump di dati rubati sono una sorta di enormi database anagrafici, in formato simil-Excel o CSV, che possono a volte contenere le password in chiaro degli utenti, oltre a nome, cognome, indirizzo, email e simili. Se in alcuni casi i sistemi prevedono che le password non siano salvate in chiaro, molti altri sono più superficiali sul tema, motivo per cui dovrebbe essere piuttosto facile per un truffatore procurarsi questi dump ed inviare in automatico una mail minacciosa ad ogni indirizzo email, affermando di avere avuto accesso alla password stessa.
Quelle password a volte sono vere, e sono quasi certamente tratte da uno di questi dump che magari non avete cambiato (le password, intendo) da un po': per cui cambiatele, prima che potete, e sappiate che la minaccia è arrivata probabilmente da quei furti di dati, a cui molte aziende a cui diamo i nostri dati sono spesso de-responsabilizzate, per cui dovrete provvedere da soli nel frattempo, in attesa che le misure legali in merito aumentino e migliorino in termini di nostra tutela.