保险公司自动扣费是否合法需分情况讨论，具体如下：

1. 用户授权同意的情况下合法
   根据《中华人民共和国保险法》及《中华人民共和国民法典》合同编相关规定，若投保人在投保时通过书面、电子签名或其他可验证方式明确授权保险公司从指定账户自动扣费（如签署代扣协议、勾选自动续费条款等），且保险公司扣费前已履行提示说明义务（如通过短信、邮件等方式通知扣费时间、金额），则该行为具有合法性。
   法律依据：《民法典》第496条（格式条款提示义务）、第119条（民事法律行为效力）；《保险法》第13条（投保人如实告知义务与合同成立）。

2. 未授权或授权失效的情况下违法
   若保险公司未经投保人明确授权，或授权已到期（如投保人已取消自动续费设置）、授权范围不明确（如未约定扣费账户或金额上限）的情况下擅自扣费，则构成侵权或违约。此时投保人可依据《消费者权益保护法》第55条主张“退一赔三”（若构成欺诈），或依据《民法典》第985条要求返还不当得利。
   典型情形：

   • 保险公司未在保险合同中以显著方式提示自动扣费条款；
     
   • 投保人已通过保险公司APP、客服等渠道取消自动续费，但保险公司仍扣费；
     
   • 扣费金额超出合同约定或投保人预期（如未经同意升级保障计划并加收费用）。

3. 特殊情形：银行或第三方支付平台责任
   若自动扣费系通过银行代扣或第三方支付平台（如支付宝、微信）完成，需区分责任主体：

   • 若保险公司未取得投保人有效授权，但银行/支付平台因系统漏洞或审核不严导致扣费，投保人可同时要求保险公司与支付平台承担连带责任；
     
   • 若投保人曾授权支付平台“免密支付”或“自动扣款”，但未对保险公司具体扣费行为进行二次确认，可能需根据《电子支付指引》第25条，结合具体授权范围判断责任。

建议行动：

1. 立即检查保险合同、代扣协议及支付平台记录，确认是否曾授权自动扣费；
   
2. 若未授权或授权已失效，第一时间联系保险公司要求停止扣费并返还已扣款项；
   
3. 若协商无果，可向当地银保监会投诉（12378）或通过诉讼主张权利。
   

如有进一步细节（如扣费方式、合同条款内容等），可直接向我咨询，我将结合具体证据分析法律风险。