Das ist eine bekannte Betrugsmasche, vor der man keine Angst haben muss. Auch dann nicht, wenn der Absender der E-Mail die eigene E-Mail-Adresse ist oder wenn in der Nachricht das eigene Passwort (möglicherweise ein altes) auftaucht.
Wenn der Absender die eigene Adresse ist, soll das nur den Anschein erwecken, als hätte die Person tatsächlich Zugriff auf das E-Mail-Konto, was nicht der Fall ist. Es ist möglich, die Absenderadresse von E-Mails zu fälschen, auch „E-Mail-Spoofing“ genannt: https://www.computerweekly.com/de/definition/E-Mail-Spoofing
Auch die Sache mit dem Passwort lässt sich einfach erklären. Das Passwort stammt in diesem Fall höchstwahrscheinlich aus einer geknackten Datenbank. Vielleicht hast du auch schon mal mitbekommen, dass die Zugangsdaten der Nutzer von diversen Websites geklaut wurden. Solche geklauten Daten werden dann beispielsweise an Cyberkriminelle verkauft bzw. veröffentlicht oder direkt selbst verwendet, um damit Schaden anzurichten, zum Beispiel mit solchen betrügerischen Nachrichten.
Wenn in der E-Mail lediglich ein altes Passwort vorkommt, dann muss man meiner Ansicht nach auch nichts weiter unternehmen, denn weitere Zugangsdaten sollte der Verfasser der E-Mail nicht kennen bzw. besteht die Möglichkeit nur dann, wenn andere verwendete Passwörter ebenfalls im Netz zu finden sind.
Ob eigene Daten wie Passwörter irgendwo im Netz zu finden sind bzw. waren, lässt sich zum Beispiel auf dieser Website überprüfen: https://haveibeenpwned.com/
Dort muss man lediglich seine E-Mail-Adresse eingeben.
Sollte das dann zutreffen, findet man teilweise weiter unten auch Informationen darüber, wie man an die Daten gekommen ist, sprich, über welche Website. Auch wird angegeben, welche Daten noch entwendet worden sind. Wenn es Ergebnisse gibt, sollte man auf der entsprechenden Website selbstverständlich sein Passwort ändern und das auch auf allen anderen Seiten, wo man dasselbe Passwort verwendet.
Es ist generell ratsam, regelmäßig seine Passwort zu ändern. Des Weiteren sollte man für unterschiedliche Dienste verschiedene Passwörter verwenden. Kommt es nämlich tatsächlich mal vor, dass die eigenen Zugangsdaten irgendwo entwendet werden, könnte die Person theoretisch auch auf andere Konten zugreifen, wenn dort dieselben Zugangsdaten verwendet werden.