По техническим признакам, а не по названию ярлыка. Эксперт определяет программу по исполняемым файлам и записям системы об установке, затем проверяет признаки изменения защиты: модифицированный исполняемый файл, отключённую проверку лицензии, генератор ключей в папке с установщиком, ключ из нелегальных сборок, стёртые сведения о правообладателе. Опубликованный производителем ключ корпоративной активации сам по себе признаком не служит — он встречается и в законных установках, и тогда смотрят, нет ли подставного сервера активации. По служебным записям о запуске часто видно, использовалась ли программа или только была установлена.
Есть ли у организации право на эти экземпляры, эксперт не решает: его показывают договоры, счета и лицензионные сертификаты. Сравнение установленной копии с оригинальным дистрибутивом — основной приём при исследовании контрафактного программного обеспечения.
Если организация проверяет себя до претензий, полезно сразу собрать лицензионные документы и сопоставить их со списком установленных программ.