そのメールアドレスがスパム業者さんの名簿に載ってしまっていることは確かでしょうが、それ以上の情報は流出していないと思います。メールアドレスしか知らないからその URL をクリックさせてもっと情報を盗もうとしています。 もし他の情報も知っていてそれを悪用するならわざわざ本人に知らせず黙って悪用します。 もし本当に個人情報をつかんでいて本人から金を脅し取りたいなら、つかんでいる個人情報を小出しにして本当に個人情報を持っていることを知らせます。 もし善意で個人情報が流出していることを知らせてくれているなら、URL をクリックさせるようなことはしません。(Google は善意で知らせてくれることがあります。Chrome にパスワードを保存する機能がありますが、そこに保存されているユーザー名やパスワードと同じログイン情報がインターネット(ダークウェブ)で見つかったら「すぐにパスワードを変えて」と警告がでます。)