保险公司未经授权私自查询个人银行流水属于违法行为，具体分析如下：

1. 侵犯公民个人信息权
   根据《民法典》第1032条及《个人信息保护法》第10条，自然人的银行流水属于敏感个人信息，其收集、使用需严格遵循“合法、正当、必要”原则，并取得个人单独同意。保险公司若未通过合法程序（如司法机关调查令、用户书面授权）获取流水，直接构成对公民隐私权的侵害。

2. 可能触犯刑事犯罪
   若保险公司通过非法手段（如黑客攻击、内部人员违规查询、与第三方勾结获取数据）获取流水，情节严重的可能涉嫌《刑法》第253条之一的侵犯公民个人信息罪。根据司法解释，非法获取、出售或提供行踪轨迹、通信内容、征信信息、财产信息50条以上的，即达到“情节严重”标准，可处三年以下有期徒刑或拘役。

3. 行政处罚风险
   即使未构成犯罪，保险公司也可能因违反《个人信息保护法》第66条被监管部门责令改正、警告，没收违法所得，并处5000万元以下或上一年度营业额5%以下罚款；对直接责任人员处10万元以上100万元以下罚款。

例外情形：若保险公司因理赔调查等必要业务需求，已通过书面形式取得用户明确授权（授权范围需具体到“查询银行流水”），且查询主体为合作银行等合法机构，则不构成违法。但需注意，授权需用户主动、自愿作出，保险公司不得以格式条款强制要求。

建议：若您发现保险公司未经同意查询流水，可采取以下措施：

1. 立即要求保险公司出具查询授权文件及法律依据；
   
2. 向当地银保监会或个人信息保护主管部门投诉；
   
3. 保留证据（如查询记录、沟通录音），必要时通过诉讼主张赔偿。
   

如有进一步疑问，可直接向我咨询具体应对方案。