"Dreck am Stecken" haben, ist in diesem Zusammenhang eine gelungene Formulierung.
Aber im Ernst: Ich hab solche Mails auch schon bekommen. Kann man getrost ignorieren. Das mit dem Passowrt würde mich nervös machen + dem nachgehen: Wo wurde daselbe PW noch verwendet? Jedenfalls überall ändern. No na. Einen Trojaner würde ich eher ausschließen, da wäre es doch einfacher, wenn der sofort aktiv wird, als so eine Erpresserschiene zu fahren.
Was noch nicht gesagt wurde: Polizei einschalten. Bei uns in Österreich gibt es eine eigene Meldestelle dafür. Die wird nciht viel machen (können), aber trotzdem.