Законны постольку, поскольку можно отбрехаться, мол, я не я, и персонажи случайно совпали. Если взят чисто сеттинг, то тут вообще чрезвычайно трудно как-то прикопаться.
Если изначально исходить из того, что фанфик использует как-то некий объект авторских прав, то да, верно, без разрешения их писать незаконно.